説明
災害復旧計画（DRP）テストを実施する際に最も大きな内在リスクは、本番環境への影響です。DRPテストでは、災害シナリオをシミュレーションすることで、組織の計画が効果的であり、インシデントから復旧できることを確認します。しかし、このテストは本番環境で実行されるため、組織の通常の業務に支障をきたす可能性があります。この内在リスクは、非本番環境でテストを実行するか、影響が最小限に抑えられる時間帯にテストを実行することで軽減できます。

変化の激しい環境にある組織では、新たな脅威、脆弱性、影響、または対策によって、情報セキュリティリスクの状況も頻繁に変化する可能性があります。そのため、情報セキュリティマネージャーは、経営陣が行ったリスク受容の決定が定期的に見直され、それが依然として有効であり、組織の現在のリスク許容度とリスク耐性に合致していることを確認する必要があります。受容の根拠は文書化され、リスク環境と事業目標の変化を反映するために必要に応じて更新されるべきです。情報セキュリティマネージャーは、受容したリスクを監視し、逸脱や問題があれば経営陣と上級管理職に報告する必要があります。
参考文献
* CISMレビューマニュアル第15版、1131ページ
* CISM復習問題集、解答・解説マニュアル第9版、482ページ
* CISMドメイン2：情報リスク管理（IRM）[2022年更新]3

セクション：情報セキュリティガバナンス
Explanation:
情報セキュリティ管理者は、技術的な脆弱性やセキュリティ意識のレベルを評価する前に、現在の事業戦略と方向性を理解する必要があります。事業継続計画を策定する前に事業影響分析を実施すべきですが、これは可用性に焦点を当てているため、情報セキュリティ戦略を策定する際の最初のステップとしては適切ではありません。

脅威と脆弱性の評価は、主に制御目標を設定するための基礎となるため重要です。制御目標は、セキュリティ制御を実装することによって得られる望ましい結果であり、組織のリスク許容度とビジネス目標に合致している必要があります。脅威と脆弱性の評価は、セキュリティインシデントの潜在的な発生源と影響を特定し、リスクの発生可能性と深刻度に基づいて緩和策の優先順位付けを行うのに役立ちます。脅威と脆弱性の評価を実施することで、組織は情報資産を保護し、残存リスクを許容可能なレベルまで低減するための適切なレベルとタイプのセキュリティ制御を確立できます。参照文献 = CISM レビュー マニュアル (デジタル版)、第 3 章: 情報セキュリティ リスク管理、セクション 3.1: リスクの特定、p. 115-1161。CISM レビュー マニュアル (印刷版)、第 3 章: 情報セキュリティ リスク管理、セクション 3.1: リスクの特定、p. 115-1162。CISM 項目開発ガイド、ドメイン 3: 情報セキュリティ プログラムの開発と管理、タスク ステートメント 3.1、p. 193.
脅威と脆弱性の評価が重要なのは、主にそれが制御目標を設定する基礎となるからです。制御目標とは、情報システムにセキュリティ制御を導入することで得られる望ましい成果または目標のことです。これらは、システムの機密性、完全性、可用性に影響を与える可能性のある脅威と脆弱性を特定し評価するリスク評価プロセスから導き出されます。脅威と脆弱性の評価を実施することで、組織は直面するリスクのレベルを判断し、それらのリスクを軽減するための適切な制御目標を確立することができます。