The data owner is accountable for the confidentiality of the data that is outsourced to a third party with servers located in a foreign country. The data owner is the person or entity that has the authority and responsibility to classify, label, and protect the data according to the organization's policies and standards. The data owner is also responsible for defining the data access rights and privileges, and for ensuring that the data is handled in compliance with the applicable laws and regulations. The data owner retains the accountability for the data even when it is outsourced to a third party, and must monitor and evaluate the security performance and compliance of the service provider. The third-party data custodian, the data custodian, and the regional office executive are not accountable for the confidentiality of the data, as they have different roles and responsibilities in the outsourcing process. References = Risk and Information Systems Control Study Manual,
7th Edition, Chapter 5, Section 5.2.1.2, page 2461
1: ISACA Certified in Risk and Information Systems Control (CRISC) Exam Guide, Answer to Question
654.

セクション: 巻 B
Explanation:
プロジェクト範囲に変更が加えられると、品質ベースラインも更新されます。品質ベースラインはプロジェクトの品質目標を記録し、プロジェクト要件に基づいています。
誤った回答:
A: スコープの追加によってステークホルダーの特定プロセスが変わることはありません。ステークホルダーの数は変わる可能性がありますが、ステークホルダーの特定方法はスコープの追加によって影響を受けません。
B: 範囲の変更が追加されても、ベンダー選択プロセスは変更されない可能性があります。プロジェクト内のベンダーは変更される可能性がありますが、選択プロセスは変更されません。
D: プロセス改善計画は、範囲の変更に関係なく、プロジェクトのプロセスを改善することを目的としています。

リスク レジスターは、特定されたリスク、その原因、影響、可能性、対応、所有者を記録して追跡するツールです。リスク レジスターを維持する際の最大の懸念は、リスク要因の大幅な変更が除外されることです。リスク要因とは、リスクの発生と影響に影響を与える内部および外部の変数です。
リスク要因は、ビジネス環境、IT 環境、脅威環境、または規制要件の変化により、時間の経過とともに変化する可能性があります。リスク レジスタがリスク要因の重大な変化を反映していない場合、企業のリスク プロファイルの正確で最新のビューを提供できず、効果的なリスク管理の決定とアクションをサポートできない可能性があります。その他のオプションは、リスク レジスタのさまざまな側面に関係するため、リスク要因の重大な変化を除外することほど懸念されるものではありません。
* 影響が定性的な用語で記録されるということは、リスク レジスタが低、中、高などの記述的なスケールを使用して、リスクの潜在的な結果を測定していることを意味します。これは、金銭的価値やパーセンテージなどの定量的な尺度ほど正確で一貫性がない可能性がありますが、リスク レジスタの有効性や有用性に必ずしも影響するわけではありません。
* 経営幹部が定期的なレビューを行わないということは、企業の上級管理職がリスク レジスタを定期的に評価および更新していないことを意味します。これは、リスク管理に対する経営陣のコミットメントや監視が不足していることを示している可能性がありますが、リスク レジスタの品質や完全性に直接影響するものではありません。
* IT リスクが IT 資産にリンクされていないということは、リスク レジスターが、特定されたリスクを、リスクの影響を受けるかリスクの一因となるハードウェア、ソフトウェア、データ、サービスなどの特定の IT リソースと関連付けていないことを意味します。これにより、リスクの可視性と追跡可能性が制限される可能性がありますが、リスクの特定または評価に必ずしも影響するわけではありません。参考文献 = リスクおよび情報システム制御研究マニュアル、第 7 版、第 1 章、セクション 1.2.2.2、21 ～ 22 ページ。

セクション: ボリューム D