残存リスクは、組織が許容できるリスクレベルを決定するために、経営陣に十分な情報を提供する。コントロールリスクとは、コントロールが望ましくない事象の防止に成功しないリスクのことである。リスクエクスポージャーとは、望ましくない事象が発生する可能性のことである。固有リスクは、リスク評価において考慮すべき重要な要素である。

セキュリティインシデントの分類方法を策定する際には、カテゴリの定義について合意を得る必要があります。つまり、カテゴリは、インシデント対応プロセスに関わるすべての関係者（インシデントハンドラー、ステークホルダー、経営陣、外部機関など）にとって明確で一貫性があり、理解しやすいものでなければなりません。カテゴリの定義について合意を得ることで、インシデントが正確に分類および報告され、適切な措置とリソースが割り当てられ、コミュニケーションと調整が効果的に行われることを保証できます。業界標準への準拠、インシデントハンドラーによる作成、報告要件への準拠は、セキュリティインシデントの分類方法を策定する上で必須ではありませんが、組織の状況や目的によっては望ましい、あるいは有益な場合があります。業界標準に準拠することで、インシデント対応のベストプラクティスやベンチマークを採用できますが、すべての種類のインシデントや組織にとって実現可能または適切とは限りません。インシデントハンドラーによる作成は、カテゴリの柔軟性とカスタマイズを可能にしますが、定義が共有または合意されていない場合は、一貫性の欠如や曖昧さが生じる可能性があります。報告要件に準拠することで、法的または契約上の義務を遵守するのに役立ちますが、分類する必要のあるインシデントのすべての側面や次元を網羅できるとは限りません。参照 = CISMレビューマニュアル、第16版、200～2011ページ。CISMレビュー問題、解答、解説マニュアル、第10版、822ページ。セキュリティインシデントの分類方法を開発する際には、カテゴリの定義について合意する必要があります。これは、インシデントの各カテゴリについて明確かつ一貫した定義を持つことで、インシデント対応チームとその他の関係者の間で共通の理解とコミュニケーションを確保できるためです。また、インシデントの正確かつタイムリーな識別、分類、報告、分析を促進します。合意された定義を持つことは、インシデント管理プロセスにおける混乱、曖昧さ、矛盾を回避するのにも役立ちます。

セクション：情報セキュリティプログラム管理

説明
セキュリティ意識向上プログラムとは、従業員が安全な行動や慣行を採用するよう教育し、動機づけることを目的とした一連の活動です。セキュリティ意識向上プログラムは、組織のビジョン、ミッション、目標、目的を定義する事業戦略と整合している必要があります。セキュリティ意識向上プログラムを事業戦略と整合させる際に考慮すべき最も重要な要素は、組織の人々と文化です。なぜなら、彼らはプログラムの主要な対象者であり、プログラムの成功の鍵となる存在だからです。組織の人々と文化は、従業員の情報セキュリティに対する意識レベル、態度、行動に影響を与えます。したがって、セキュリティ意識向上プログラムは、組織の人々と文化の特定のニーズ、好み、価値観、期待に合わせて調整し、適切な方法、チャネル、メッセージ、インセンティブを用いて、彼らを巻き込み、影響を与える必要があります。組織の人々と文化に整合したセキュリティ意識向上プログラムは、その目的を達成し、組織全体のセキュリティ体制を向上させる可能性が高くなります。
参考文献
CISMレビューマニュアル第15版、1631ページ
CISM 2020：情報セキュリティとビジネスプロセスの整合性、ビデオ22

説明
セキュリティ管理策の継続的な監視の主な目的は、管理策が望ましいセキュリティ目標を達成し、特定されたリスクを軽減する上で効果的であることを確認することです。継続的な監視は、計画および実装されたセキュリティ管理策が組織のリスク許容度と整合しており、脅威環境、システム、またはビジネスプロセスの変化に対応できることを継続的に保証します。また、継続的な監視は、管理策の弱点やギャップをタイムリーに特定し、対処するのにも役立ちます。（CISMレビューマニュアル第15版およびNIST特別刊行物800-1371より） 参考文献：CISMレビューマニュアル第15版、181ページ、セクション4.3.2.4；NIST特別刊行物
800-1371、1ページ、セクション1.1。