Section: Volume C
Explanation:
The risk response process is triggered when a risk exceeds the enterprise's risk tolerance level. The acceptable variation relative to the achievement of an objective is termed as risk tolerance. In other words, risk tolerance is the acceptable deviation from the level set by the risk appetite and business objectives.
Risk tolerance is defined at the enterprise level by the board and clearly communicated to all stakeholders. A process should be in place to review and approve any exceptions to such standards.
Incorrect Answers:
A, C: Risk appetite level is not relevant in triggering of risk response process. Risk appetite is the amount of risk a company or other entity is willing to accept in pursuit of its mission. This is the responsibility of the board to decide risk appetite of an enterprise. When considering the risk appetite levels for the enterprise, the following two major factors should be taken into account:
* The enterprise's objective capacity to absorb loss, e.g., financial loss, reputation damage, etc.
* The culture towards risk taking-cautious or aggressive. In other words, the amount of loss the enterprise wants to accept in pursue of its objective fulfillment.
D: Risk response process is triggered when the risk level increases the risk tolerance level of the enterprise, and not when it just equates the risk tolerance level.

セクション: 巻 C
説明
Explanation:
許容使用ポリシーは、ネットワーク、Web サイト、または大規模なコンピュータ システムの所有者/管理者によって適用される、ネットワーク サイトまたはシステムの使用方法を制限する一連のルールです。許容使用ポリシーは、情報セキュリティ ポリシーのフレームワークの不可欠な部分です。
誤った回答:
A、C: これら 2 つのポリシーは情報システムのセキュリティとは関係ありません。
D: プライバシー ポリシーとは、当事者が顧客またはクライアントのデータを収集、使用、開示、管理する方法の一部またはすべてを開示する声明または法的文書 (プライバシー法) です。

リスク担当者が、リスク処理の所有者が IT リスク アクション プランで指定されたものとは異なるコントロールを実装したことを知ったときに最初に行うべきことは、新しいコントロールに関連付けられたリスク レベルを再評価することです。これは、新しいコントロールがリスクの発生可能性と影響に異なる影響を与え、新しいリスクをもたらしたり、既存のリスクを変更したりする可能性があるためです。リスク担当者は、新しいコントロールの妥当性と有効性を評価し、残存リスクを組織のリスク選好度およびリスク許容度と比較する必要があります。また、リスク担当者は、リスク再評価の結果を関係する利害関係者に伝え、それに応じてリスク レジスターとアクション プランを更新する必要があります。その他のオプションは、後の段階で必要または適切になる場合がありますが、リスク担当者が最初に行うべきことではありません。コントロール所有者の承認を求めることは重要ですが、リスク レベルの潜在的な変更やリスク管理目標との整合性には対処していません。リスク レジスターのアクション プランを更新することは良い方法ですが、リスク再評価の後で、リスク所有者の同意を得て行う必要があります。制御に確立されたテスト方法があることを検証することは、制御保証プロセスの一部ですが、リスク レベルやリスク対応の有効性に関する情報は提供されません。参考文献 = リスクおよび情報システム制御研究マニュアル、第 4 章: リスク対応、151 ページ。