Data encryption is the best method to protect organizational data within a production cloud environment, as it ensures the confidentiality, integrity, and availability of the data. Data encryption is the process of transforming data into an unreadable format using a secret key or algorithm, so that only authorized parties can access and decrypt the data. Data encryption can protect data at rest (stored in the cloud) and data in transit (transferred over the network) from unauthorized access, modification, or deletion by malicious actors or accidental errors. Data encryption can also help organizations comply with legal, regulatory, and contractual requirements for data protection and privacy, such as GDPR, CCPA, and PCI DSS.
References:
*The Complexity Conundrum: Simplifying Data Security1
*Practical Data Security and Privacy for GDPR and CCPA2

セクション: ボリューム D
Explanation:
CRO は、企業全体のリスク管理のあらゆる側面を監督する人物です。最高リスク管理責任者は、データの収集とリスクの明確化について主な責任を負います。これらのプロセスに欠陥がある場合は、CRO が責任を負う必要があります。
誤った回答:
A: エンタープライズ リスク委員会は、エンタープライズ リスク管理 (ERM) をサポートするために必要な、エンタープライズ レベルのコラボレーションとコンセンサスに責任を負う役員です。リスクを明確に表現する責任はある程度ありますが、リスクを説明する責任はありません。リスクに関するデータの収集については責任も説明責任もありません。
B: ビジネス プロセス オーナーは、プロセス要件の特定、プロセス設計の承認、プロセス パフォーマンスの管理を担当する個人です。データの収集とリスクの明確化を担当しますが、それらについては責任を負いません。
C: CIO は、IT の推進、IT とビジネス戦略の調整、IT サービスと情報の提供および関連する人的資源の配置の計画、リソースの確保、管理に責任を負う、企業の最高幹部です。CIO は、データの収集とリスクの明確化に対して一定の責任を負いますが、それらについて責任を負うわけではありません。

最近のリスク ワークショップで新たに特定されたリスク シナリオに対するリスク所有者と対応を特定した後のリスク担当者の次のステップは、結果に基づいてリスク レジスタを更新することです。これには、リスク情報と決定事項を文書化して伝達し、リスク レジスタの正確性と完全性を維持することが含まれます。対応オプションのビジネス ケースの準備、対応を実施するためのリソースの特定、および残存リスクを監視するメカニズムの開発は可能なステップですが、新しいリスク情報と決定事項に基づいてリスク レジスタを事前に更新する必要があるため、次のステップではありません。参考文献 = CRISC レビュー マニュアル、第 7 版、109 ページ。

セクション: ボリューム D

保存データの暗号化の実装に伴う残留リスクを評価する際に考慮すべき最も重要な要素は、キー管理です。キー管理とは、データの暗号化と復号化に使用される暗号化キーを生成、保存、配布、使用、破棄するプロセスです。キー管理は、暗号化されたデータのセキュリティ、可用性、整合性を確保するため、および法的要件と規制要件に準拠するために不可欠です。キー管理が不十分だと、キーの紛失、盗難、侵害、または破損が発生し、不正アクセス、データ侵害、データ損失、またはデータ回復の失敗につながる可能性があります。したがって、残留リスクを評価するには、キー管理を考慮する必要があります。残留リスクとは、暗号化などのリスク処理を適用した後に残るリスクです。データ保持要件、データ破棄要件、およびクラウド ストレージ アーキテクチャは、データの暗号化と復号化に直接影響せず、重大な残留リスクをもたらさない可能性があるため、キー管理ほど重要ではありません。参考文献 = CRISC Review Manual、第 6 版、ISACA、2015 年、217 ページ。