説明／参考資料：
Explanation:
サービスレベル契約（SLA）やその他のアウトソーシング契約には、適切なレベルの保護が明記されていることを確認することが重要です。経営陣の意思決定を支援するために何らかの推奨事項を提示したり、何らかの行動を起こしたりする前に、アウトソーシングプロバイダーが情報資産をどのように保護しているかをプロバイダーから確認する必要があります。選択肢Aはほとんどの場合受け入れられないため、適切な回答ではありません。

経営陣がサービス拒否（DoS）攻撃のリスクに関してそれ以上の対策を講じない最も可能性の高い理由は、対策を実施するコストが潜在的な財務損失を上回るためです。これは、組織にとってリスクが許容範囲内であり、リスクを軽減することによるメリットが対策を適用するコストを上回らないことを意味します。この決定は、さまざまなリスク対応策を評価・比較するための一般的な手法である費用便益分析に基づいています。費用便益分析では、以下の要素が考慮されます。
リスクが現実化した場合に組織が被る可能性のある損失または損害の推定値。この影響は、金銭的価値、評判、顧客満足度、法的責任など、定量的または定性的な観点から表現できます。
* 発生確率の推定値。これは、特定の期間内にリスクが発生する確率または頻度です。発生確率は、数値またはパーセンテージ、評価、高、中、低などの記述的な用語で表すことができます。
* コントロールの推定コストとは、組織がコントロールを導入および維持するために投資する必要のあるリソースの総額です。このコストには、ハードウェア、ソフトウェア、人員、トレーニング、メンテナンスなどの直接費用と間接費用が含まれます。
* 管理策の推定便益とは、管理策を実施することによってリスクの影響または発生確率がどれだけ減少するかを示すものです。便益は、影響または発生確率と同様に、金額、パーセンテージ、評価など、様々な単位で表すことができます。
費用便益分析は、正味現在価値（NPV）、投資収益率（ROI）、内部収益率（IRR）など、さまざまな方法を用いて実施できます。基本的な原則は、各対策オプションの費用と便益を比較し、最も高い正味便益または最も低い正味費用をもたらすオプションを選択することです。対策オプションは、便益が費用を上回る場合、または費用がリスクの影響よりも低い場合に、実行可能かつ望ましいとみなされます。
このケースでは、経営陣はDoS攻撃のリスクに関してこれ以上の対策を講じないことを決定しました。これは、対策の実施コストが潜在的な財務損失を上回ることを意味します。これは、リスクの影響や発生確率が低い、あるいは対策のコストや複雑さが高い、あるいはその両方が原因と考えられます。例えば、組織は堅牢なバックアップおよび復旧システム、多様なネットワークインフラストラクチャ、高い顧客ロイヤルティ、オンラインサービスへの依存度の低さなどを備えている場合、DoS攻撃の影響や発生確率は低下します。一方、組織はファイアウォール、ロードバランサー、トラフィックフィルタ、クラウドサービスなどの効果的な対策を実施する際に、技術的、財務的、または運用上の課題に直面し、対策のコストや複雑さが増大する可能性があります。したがって、経営陣はリスクが許容範囲内であると判断し、これ以上の対策を講じないことが最も合理的かつ経済的な選択であると結論付けたと考えられます。
他の選択肢は、適切なリスク評価や検証が行われていないことを示唆しているため、経営陣がDoS攻撃のリスクに関してそれ以上の対策を講じない最も可能性の高い理由とは言えません。リスク評価では発生確率を明確にし、報告された脆弱性を検証する必要があります。これらはリスクを特定し分析するための重要なステップです。経営陣は影響の可能性を認識しておく必要があります。これはリスクを評価し優先順位付けするための重要な要素です。これらの選択肢のいずれかが真実であれば、経営陣はリスク対応について十分な情報に基づいた正当な決定を下すための情報や証拠を得られないでしょう。参考文献
* CISMレビューマニュアル、第2章、67～69ページ
* CISM試験内容概要 | CISM認定資格 | ISACA、ドメイン2、タスク2.2
* CISM®向け情報セキュリティリスク管理 - Pluralsight、モジュール2、セクション2.3
* CISM: 情報リスク管理 パート 2 (Skillsoft - NICCS 提供)、セクション 2.4 経営陣は、リスクを軽減するために必要な管理策を実施するコストが、リスクが現実化した場合に組織が被る可能性のある財務損失を上回ると判断した場合、そのリスクに関連する措置を講じないことがあります。このような場合、情報セキュリティ チームは、管理策を実施するコストとリスクによる予想損失を比較した徹底的な費用対効果分析を経営陣に提供することが重要です。

経営幹部は、ゼロトラストがリスク軽減とビジネスニーズをどのようにサポートするかを理解する必要がある。
リスク軽減とユーザーエクスペリエンスへの影響を伝えることで、セキュリティ対策をビジネス目標と整合させることができます。
「セキュリティ対策が事業目標の達成とリスク軽減にどのように貢献するかを伝えることは、経営陣の支持を得る上で極めて重要です。」
- CISMレビューマニュアル第15版、第1章：情報セキュリティガバナンス、セクション：ビジネスとの整合性*