Section: Volume A
Explanation:
The Business Continuity Strategy is an outline of the approach to ensure the continuity of Vital Business Functions in the case of disaster events. The Business Continuity Strategy is prepared by the business and serves as a starting point for producing the IT Service Continuity Strategy.
Incorrect Answers:
B: Index of Disaster-Relevant Information is a catalog of all information that is relevant in the event of disasters.
This document is maintained and circulated by IT Service Continuity Management to all members of IT staff with responsibilities for fighting disasters.
C: Disaster Invocation Guideline is a document produced by IT Service Continuity Management with detailed instructions on when and how to invoke the procedure for fighting a disaster. Most importantly, the guideline defines the first step to be taken by the Service Desk after learning that a disaster has occurred.
D: Availability/ ITSCM/ Security Testing Schedule is a schedule for the regular testing of all availability, continuity, and security mechanisms jointly maintained by Availability, IT Service Continuity, and IT Security Management.

リスク評価によって IT リスク シナリオに関連する損失の増加が特定された場合、リスク担当者が行う最も重要なアクションは、リスク評価を更新することです。リスク評価は、リスク シナリオの確率と影響の組み合わせに基づく、全体的なリスク レベルの尺度です。リスク評価は、リスクの優先順位付け、リスク エクスポージャーの伝達、およびリスク対応の監視に役立ちます。リスク評価の更新は、リスクの現在の状態と規模を反映し、必要に応じてリスク対応計画のレビューと改訂をトリガーするため、最も重要なアクションです。また、リスク評価を更新することで、リスク レジスタとリスク プロファイルが正確で完全であり、リスク管理プロセスが一貫していて効果的であることが保証されます。その他のオプションは、リスク管理プロセスに関連するか、後続のステップである可能性がありますが、最も重要なアクションではありません。固有のリスクの再評価は、既存のコントロールを検討する前にリスク シナリオの確率と影響を推定するリスク分析プロセスの一部です。固有のリスクを再評価すると、リスクの根本原因と推進要因を特定し、コントロールの有効性と効率性を評価するのに役立ちますが、リスクの全体的なレベルやリスク対応計画は変更されません。新しいリスク シナリオの作成は、目標の達成に影響を与える可能性のある潜在的なイベントまたは状況を特定して説明するリスク識別プロセスの一部です。新しいリスク シナリオの作成は、リスク管理プロセスの範囲と対象範囲を拡大し、新たなリスクや変化するリスクに対処するのに役立ちますが、既存のリスク シナリオやリスク対応計画は更新されません。追加のコントロールの実装は、リスク対応プロセスの一部であり、リスクを軽減、回避、共有、または悪用するための適切なアクションを選択して実行します。追加のコントロールの実装は、リスクを軽減して目的のリスク レベルを達成するのに役立ちますが、組織のリスク選好度、許容度、および能力、およびコントロールの費用対効果分析に依存するため、最初のオプションまたは唯一のオプションではありません。参考資料 = リスク レジスターのテンプレートと例 |リスクの優先順位付けと管理、強力なリスク シナリオとステートメントの作成方法 - ISACA、IT リスク リソース | ISACA

* アウトソーシングされたアプリケーション開発における悪意のある機能に関連するリスクは、ベンダーが企業のシステムに不正なコードや有害なコードを導入し、セキュリティ、整合性、またはパフォーマンスが損なわれる可能性があることです。
* このリスクを軽減するには、企業は、コードが仕様、標準、品質要件を満たしていること、また悪意のある機能や不要な機能が含まれていないことを確認できる専門家とともに、徹底的なコードレビューを実行する必要があります。
* コード レビューとは、ソフトウェア プログラムのソース コードを体系的に検査し、エラー、脆弱性、非効率性、ベスト プラクティスからの逸脱を特定できるものです。また、コード レビューにより、コードの一貫性、可読性、保守性、および適切な文書化も保証されます。
* 専門家とは、コードレビューを効果的かつ効率的に実行するための知識、スキル、経験を持つ人のことです。専門家は、レビュー担当者の可用性、コスト、独立性に応じて、社内または社外のリソースになる場合があります。
* コードレビューは、コードを本番環境にデプロイする前に実行する必要があります。できれば、設計、テスト、統合など、開発ライフサイクルの複数の段階で実行してください。
* コードレビューは、自動コード分析、テスト、スキャンツールなどの他の手法で補完することもできます。これらのツールは、コード内の一般的な問題や既知の問題を検出できます。参考文献
* ISACA、CRISC レビューマニュアル、第 7 版、2022 年、143 ページ
* ISACA、CRISC レビュー問題、解答、解説データベース、2022、QID 143

A key performance indicator (KPI) is a measurable value that demonstrates how effectively an organization is achieving its objectives. In the context of disaster recovery planning (DRP), a KPI should reflect the ability of the organization to recover its critical business processes and applications within the predefined time frames and service levels. One of the most important KPIs for DRP is the percentage of applications that met the recovery time objective (RTO) during DRP testing. The RTO is the maximum acceptable length of time that a business process or application can be down after a disaster. By measuring the percentage of applications that met the RTO during DRP testing, the organization can evaluate the performance and reliability of its DRP, identify any gaps or weaknesses, and implement corrective actions to improve its readiness and resilience. The other options are not the best KPIs for DRP, as they do not directly measure the effectiveness of the recovery process. The number of users that participated in the DRP testing is a measure of the involvement and awareness of the staff, but not of the outcome of the testing. The number of issues identified during DRP testing is a measure of the quality and completeness of the DRP, but not of the actual recovery time. The percentage of issues resolved as a result of DRP testing is a measure of the improvement and maturity of the DRP, but not of the current recovery capability. References = Risk and Information Systems Control Study Manual, 7th Edition, Chapter 3, Section 3.2.3.3, Page 138.