セクション：情報リスク管理
Explanation:
復旧時間目標（RTO）は、事業影響度分析の主要な成果物です。RTOは、システムが利用できない場合の財務的影響に関連しています。ギャップ分析は、現状と理想的な将来状態との差異に対処するのに役立ちます。回帰分析は、プログラムモジュールの変更をテストするために使用されます。
リスク分析は、事業影響度分析の構成要素の一つである。

情報セキュリティデューデリジェンスとは、組織における情報セキュリティの現状を評価し、ギャップ、リスク、脆弱性を特定し、それらを是正するために必要なコストと労力を見積もるプロセスです。買収前に情報セキュリティデューデリジェンスを実施することは、組織の価値、評判、責任に影響を与える可能性のあるセキュリティリスク、および両組織のセキュリティシステムとプロセスを統合することの実現可能性と互換性を判断する上で重要です。
参照資料：CISMレビューマニュアル2022、361ページ；CISM試験内容概要、ドメイン1、タスク1.22；情報セキュリティデューデリジェンス質問票

ガバナンス フレームワークを改善し、より高いレベルの成熟度を達成するには、組織は現在の成熟度の状態と比較して、継続的な分析、監視、フィードバックを実施する必要があります。セキュリティ投資収益率 (ROSD) は、セキュリティ関連活動のパフォーマンス結果を示す可能性がありますが、結果は金銭の観点から解釈され、セキュリティ イニシアチブの複数の側面に及ぶため、適切なオプションではない可能性があります。継続的なリスク削減は、セキュリティ ガバナンス フレームワークの有効性を示しますが、より高いレベルの成熟度を示すものではありません。主要リスク指標 (KRD) の設定は、内部統制評価で使用されるツールです。KRI の設定は、ビジネス プロセスで統制が侵害されている場合に経営陣に警告するためのしきい値を示します。これは、成熟度モデルのサポート ツールではなく、統制ツールです。