説明／参考資料：
説明
近年利用が拡大しているアプローチの一つに、主要リスク指標（KRI）を用いたリスクの報告と監視があります。KRIとは、企業が定義されたリスクレベルを超えるリスクにさらされていることを示す指標と定義できます。通常、これらの指標はリスクを高めることが知られている要因の傾向であり、一般的には経験に基づいて開発されます。KRIは、主要従業員の欠勤率や離職率の上昇から、セキュリティイベントやインシデントの増加まで、多岐にわたります。

= インシデント後レビューを実施する主な目的は、インシデントの根本原因、つまりインシデントの発生を可能にした根本的な要因または条件を特定することです。根本原因を特定することで、将来のインシデントを防止または軽減し、インシデント対応プロセスを改善することができます。インシデントの影響を再評価し、脆弱性を特定し、制御の改善を特定することは、根本原因分析から導き出されるインシデント後レビューの二次的な目的です。参照 = CISM レビュー マニュアル、第 16 版、3061 ページ。CISM レビュー 問題、回答、説明マニュアル、第 10 版、1512 ページ インシデント後レビューを実施する主な目的は、インシデントの根本原因を特定することです。インシデントが発生した後、インシデント後レビュー プロセスでは、証拠を収集して分析し、インシデントの原因を特定します。この分析は、インシデントの発生を可能にした根本的な脆弱性と、将来同様のインシデントが発生しないようにするために実装すべき制御の改善の両方を特定するのに役立ちます。さらに、事後検証プロセスは、事案の影響や組織への潜在的な影響を再評価するためにも利用できます。

残留リスクとは、固有のリスクを軽減するための制御策を実施した後に残るリスクのことです。残留リスクの減少は、情報セキュリティ プログラムがリスクを許容可能なレベルに管理するのに効果的であることを示しています。これは、セキュリティ活動の価値とメリットを示すため、プログラムへの継続的な投資を最も正当化するものです。セキュリティ フレームワークとの整合性、実装のスピード、および業界のピア ベンチマークは、情報セキュリティ プログラムの有効性または価値を直接測定するものではありません。これらは比較またはコンプライアンスの目的には役立つかもしれませんが、組織のリスク プロファイルに対するプログラムの影響を必ずしも反映するものではありません。参照 = CISM レビュー マニュアル、第 16 版、431 ページ、CISM レビュー 問題、回答、および説明マニュアル、第 10 版、622 ページ 残留リスクとは、すべてのセキュリティ制御策が実施された後に残るリスクのことです。セキュリティ プログラムの有効性を判断し、プログラムへの継続的な投資を正当化するために、組織の残留リスクを測定することが重要です。残留リスクの減少は、セキュリティ プログラムが効果的であり、継続的な投資が正当化されることを示しています。

経営陣のサポートは、情報セキュリティ戦略目標の成功裡の実施に最も大きな影響を与える要因です。経営陣のサポートとは、上級幹部やその他の主要な利害関係者が情報セキュリティ戦略の定義、承認、資金調達、および監督に関与し、責任を果たすことを指します。経営陣のサポートは、情報セキュリティ戦略をビジネス目標に整合させ、適切なリソースと予算を確保し、セキュリティ意識の高い文化を醸成し、説明責任とコンプライアンスを徹底するために不可欠です。ISACAによると、経営陣のサポートは情報セキュリティガバナンスの重要な成功要因の1つです1。他のオプションは、情報セキュリティ戦略目標の成功裡の実施に影響を与える要因ではなく、情報セキュリティ戦略の結果または構成要素です。規制要件は、情報セキュリティ戦略が遵守しなければならない外部の義務です2。コンプライアンスの受容とは、組織が情報セキュリティポリシーと標準にどの程度準拠しているかを示すものです3。予算承認とは、情報セキュリティ活動とイニシアチブに財務リソースを割り当てるプロセスです4。参考資料: 2: 情報セキュリティ: 目標、種類、およびアプリケーション - Exabeam 3: サイバーセキュリティ戦略の策定方法: ステップバイステップガイド 4: 情報セキュリティの目標と目的 1: 情報セキュリティ戦略計画を策定することの重要性

説明／参考資料：
Explanation:
リスク管理プログラムは、他の方法では排除または移転できないリスク、すなわち組織にとっての残存リスクを最小限に抑えるべきである。全体的なリスクを定量化することは重要だが、最終結果ほど重要ではない。固有のリスクを完全に排除することは事実上不可能である。すべてのALEの合計を最大化することは、実際には望ましいこととは正反対である。