説明/参照：
Explanation:
特定の制御または対抗策（制御オーバーヘッド）のコストが特定のリスクを軽減するメリットを超える場合、企業は軽減のコストを負担するのではなく、リスクを受け入れることを選択できます。これは、次のように説明されている比例の原則に従って行われます。
一般的に受け入れられているセキュリティシステムの原則（GASSP）

一般的に受け入れられている情報セキュリティの原則（GAISP）

不正解：
A：特定のコントロールのコストが特定のリスクを軽減するメリットを超える場合、コントロールは適用されず、むしろリスクが受け入れられます。
B：管理のコストは特定のリスクを軽減するメリットを超えるため、管理を適用しないでください。
是正管理は一種の管理であるため、採用すべきではありません。
D：リスクは、機会がある場合、つまりリスクがポジティブである場合に悪用されています。ただし、この場合、軽減が必要なため、負のリスクが存在します。したがって、搾取を行うことはできません。

説明/参照：
Explanation:
主要業績評価指標（KPI）は、監視する概念または機能の運用上の有効性に関する洞察を提供します。主要業績評価指標は、企業または業界が戦略的および運用上の目標を達成するという観点からパフォーマンスを測定および/または比較するために使用する一連の指標です。
KPIは、優先順位やパフォーマンス基準に応じて、企業ごとに異なります。
企業は、戦略的および運用上の目標を設定してから、それらの目標を最もよく反映できるKPIを選択する必要があります。たとえば、ソフトウェア会社の目標が業界で最速の成長を遂げることである場合、その主要業績評価指標は、年間収益成長の指標である可能性があります。
不正解：
A：機能成熟度モデル（CMM）は、概念または機能の成熟度を評価し、運用の有効性に関する洞察を提供しません。
B：メトリックしきい値は、KPIまたはKRIが特定の値または値のセットを報告するときに制定される決定またはアクションポイントです。それは、運用上の有効性についての洞察を提供しません。
C：主要なリスク指標（KRI）は、監視する概念または機能の範囲内で存在または実現される可能性のある潜在的なリスクへの洞察のみを提供します。主要なリスク指標は、企業の主要な監視指標です。KRIは関連性が高く、重要なリスクを予測または示す可能性が高くなります。
KRIは、大企業が持つ可能性のある管理および報告のための過度に多数のリスク指標を回避するのに役立ちます。

説明/参照：
Explanation:
リスク対応を定義する目的は、残存リスクが企業のリスクアペタイトと許容範囲の範囲内にあることを確認することです。リスク対応は、リスクのレベル、企業のリスク許容度、および特定のリスク対応オプションのコストまたは利益に基づいて、リスクに対する正しい優先順位の高い対応を選択することに基づいています。
不正解：
A：リスクを企業から完全に排除することはできません。
C：これは有効な答えではありません。
D：リスクの軽減はそれ自体がリスク対応プロセスであり、その背後にある理由ではありません。