is incorrect. This is the consequence of poor risk communication, not the inhibitor of effective communication. Answer: D is incorrect. Misalignment between real risk appetite and translation into policies is an inhibitor of effective communication, but is not a prominent as existence of blame culture. Answer: B is incorrect. . This is the consequence of poor risk communication, not the inhibitor of effective communication.

The accuracy of a key risk indicator (KRI) is the degree to which the indicator reflects the true level and trend of the risk. It is most important that the indicator is correlated to risk and tracks variances in the risk, as this ensures that the indicator is relevant, reliable, and responsive to the risk situation. A correlated indicator has a strong and consistent relationship with the risk, meaning that changes in the indicator reflect changes in the risk. A variance-tracking indicator measures the difference between the actual and expected risk level, meaning that the indicator can detect and report deviations from the risk appetite or threshold. According to the CRISC Review Manual 2022, correlation and variance tracking are two of the key characteristics of an effective KRI1. According to the CRISC Review Questions, Answers & Explanations Manual 2022, correlation and variance tracking are the correct answer to this question2.
Assigning the indicator to IT processes and projects with a low level of risk, having a high correlation with the process outcome, and triggering response based on risk thresholds are not the most important factors for determining the accuracy of a KRI. These factors may be useful or desirable, but they do not directly affect the accuracy of the indicator. Assigning the indicator to IT processes and projects with a low level of risk may reduce the complexity and uncertainty of the indicator, but it may also limit the scope and value of the indicator. Having a high correlation with the process outcome may indicate that the indicator is aligned with the business objectives, but it may not capture the risk factors or drivers that affect the outcome. Triggering response based on risk thresholds may indicate that the indicator is actionable and timely, but it may not reflect the actual or potential changes in the risk level.

説明/参照:
Explanation:
プログラム管理制御は、技術的な制御ではなく、管理クラスの制御に属します。
プログラム管理制御は、連邦情報セキュリティ管理法 (FISMA) によって推進されます。FISMA への準拠を保証する制御を提供します。これらの制御は他の制御を補完するものであり、他の制御に代わるものではありません。
誤った回答:
B、C、D: これらの制御は、制御の技術クラスに分類されます。
テクニカル クラスのコントロールには 4 つのファミリが含まれます。これらのファミリには 75 を超える個別のコントロールが含まれます。
以下は、テクニカルクラスの各ファミリーのリストです。
アクセス制御 (AC): この制御ファミリは、組織が効果的なアクセス制御を実装するのに役立ちます。

ユーザーが職務を遂行するために必要な権限と許可のみを持っていることを保証します。これには、最小権限や職務の分離などの原則が含まれます。
監査と説明責任（AU）：この一連の管理策は、組織が効果的な監査を実施するのに役立ちます。

プログラム。監査対象を決定する方法の詳細を提供します。監査ログを保護する方法の詳細を提供します。また、否認防止のために監査ログを使用する方法に関する情報も含まれています。
識別と認証（IA）：これらのコントロールは、識別と認証のためのさまざまな方法をカバーしています。

ユーザーを認証します。各ユーザーは一意に識別される必要があります。つまり、各ユーザーには 1 つのアカウントがあります。このアカウントは 1 人のユーザーのみが使用します。同様に、デバイス ID はネットワーク上のデバイスを一意に識別します。
システムおよび通信保護（SC）：SCファミリーは、以下の範囲をカバーする大規模な制御グループです。

システムと通信チャネルを保護するためのさまざまな側面。サービス拒否保護と境界保護制御が含まれます。伝送整合性と機密性制御も含まれます。

* Residual system access is the risk that the customer service representatives who are transferred to the sales department may still have access to the systems or applications that they used in their previous role, which may not be relevant or authorized for their new role.
* The access control manager is the person or function who is responsible for defining, implementing, and maintaining the policies and procedures for granting, modifying, reviewing, and revoking access rights to the systems or applications, based on the principle of least privilege and the segregation of duties.
* The access control manager is responsible for mitigating the risk associated with residual system access, by ensuring that the access rights of the customer service representatives are updated or removed according to their new role and responsibilities, and that the access changes are documented and approved by the appropriate authorities.
* The other options are not responsible for mitigating the risk associated with residual system access.
これらは、アクセス制御マネージャーとは無関係であるか、またはアクセス制御マネージャーよりも効果が低くなります。
この回答の参考文献は次のとおりです。
* リスクITフレームワーク、26ページ
* 情報技術とセキュリティ、20ページ
* リスクシナリオスターターパック、18ページ