インシデントの影響度は、分類と区分を行う上で最も重要な要素です。これにより、インシデントが組織に及ぼす潜在的な影響度に基づいて対処されることが保証されます。
「適切な優先順位付けと対応を確保するためには、事象の影響度を分類レベルを決定する際の主要な要素とすべきである。」
- CISMレビューマニュアル第15版、第4章：インシデント管理、セクション：インシデントの分類と優先順位付け* ISACAの実践データベースでは、影響に焦点を当てることで、インシデントが適切な対応の優先順位を受けることが保証されると強調しています。

セクション：インシデント管理と対応

ギャップ分析の結果は、定められた期限までに現地の規制要件への準拠を達成するための行動計画を作成する際に、計画策定の目的において最も有用な情報を提供します。ギャップ分析とは、組織の現在のコンプライアンス状態と望ましいレベルまたは基準との差を評価することです。これは、実際のパフォーマンスと期待されるパフォーマンスを比較することによって、改善の可能性のある領域を特定するために使用されるプロセスです。ギャップ分析は、ギャップを解消して規制要件に準拠するために必要なアクションの優先順位付け、および各アクションに必要なリソースと時間の見積もりに役立ちます1。他のオプションは、定められた期限までに現地の規制要件への準拠を達成するための行動計画を作成する際の計画策定の目的において、ギャップ分析の結果ほど有用ではありません。期限と不遵守に対する罰則は考慮すべき重要な要素ですが、コンプライアンスを達成する方法や必要なアクションに関する情報は提供しません2。ビジネス影響分析（BIA）の結果は、保護する必要のある重要なプロセスと資産を特定するのに役立ちますが、規制要件に準拠する方法や必要なアクションに関する情報は提供しません3。現在実施されているセキュリティ対策の目録は、コンプライアンスの現状を評価する上で有用ですが、規制要件への準拠方法や必要な措置に関する情報は提供しません4。参考文献：3：ビジネスインパクト分析（BIA） - Wikipedia 2：コンプライアンスギャップ分析と有効性評価 | SMS 1：コンプライアンスにおけるギャップ分析とは | Scytale 4：ギャップ分析とリスク評価 - Riddle Compliance

説明／参考資料：
Explanation:
情報セキュリティ管理者は、全従業員に対するセキュリティ意識向上トレーニングの必要性を人事部に強く訴える必要がある。予算に関する検討は、どちらかというと会計業務の一環だ。
人事部は、セキュリティ意識向上トレーニングの必要性を確信した時点で関与するだろう。ITに精通した人材を採用することで、情報セキュリティに対する意識の高い新入社員を確保できるかもしれないが、それは他の従業員に対するトレーニング要件の代替にはならない。
定期的なリスク評価には、人事部門の機能が関与する場合もあれば、関与しない場合もある。