セクション: ボリューム D
説明
Explanation:
ユーザー アカウントをアクセス要求に関連付けると、既存のすべてのアカウントが承認されたことが確認されるため、システム アクセス管理プロセスの有効性を確認できます。
誤った回答:
A: ユーザー アカウントを人事 (HR) レコードに結び付けると、ユーザー アカウントが従業員に一意に結び付けられているかどうかが確認されますが、システム アクセス管理プロセスの有効性は考慮されません。
C: ベンダー レコードをユーザー アカウントに結び付けると、電子商取引アプリケーション上の有効なアカウントを確認できる場合がありますが、サポート アクセス要求なしで確立されたユーザー アカウントは考慮されません。
D: アクセス要求をユーザー アカウントに結び付けると、すべてのアクセス要求が処理されたことが確認されます。ただし、テストでは、サポートするアクセス要求なしで確立されたユーザー アカウントは考慮されません。

ビジネス プロセス リエンジニアリングとは、ビジネス プロセスを根本的に再設計して、パフォーマンス、品質、コスト、顧客満足度を大幅に向上させることです。ビジネス プロセス リエンジニアリングにより、組織に新しいリスクや変更されたリスクが導入されるだけでなく、既存の制御や対応にも影響が及ぶ可能性があります。
したがって、ビジネス プロセスが再設計された後にリスクが適切に管理されるようにするための最善の方法は、プロセスの制御の有効性を再評価することです。つまり、組織は、制御が依然として十分かつ適切であり、リスクを軽減するための意図どおりに機能しているかどうかを評価する必要があります。
統制の有効性を再評価することで、統制環境のギャップや弱点を特定し、必要な変更や改善を統制に実装するのに役立ちます。参考文献 = リスクおよび情報システム統制研究マニュアル、第 5 章、セクション 5.2.2、p. 229-230

Change requests must be documented to be considered. Alice should create a change request form and follow the procedures of the change control system.

The best course of action to address the risk associated with data transfer if the relationship is terminated with the vendor is to ensure the language in the contract explicitly states who is accountable for each step of the data transfer process. This can help to avoid ambiguity, confusion, or disputes over the ownership, responsibility, and liability of the data and the data transfer process. Meeting with the business leaders, collecting requirements, and working with the information security officer are important activities, but they are not as effective as ensuring the contractual agreement is clear and enforceable. References = ISACA Certified in Risk and Information Systems Control (CRISC) Certification Exam Question and Answers, question 4; CRISC Review Manual, 6th Edition, page 153.

Explanation/Reference:
Explanation:
If the costs of specific controls or countermeasures (control overhead) exceed the benefits of mitigating a given risk the enterprise may choose to accept the risk rather than incur the cost of mitigation. This is done according to the principle of proportionality described in:
Generally accepted security systems principles (GASSP)

Generally accepted information security principles (GAISP)

Incorrect Answers:
A: When the cost of specific controls exceed the benefits of mitigating a given risk, then controls are not applied, rather risk is being accepted.
B: As the cost of control exceeds the benefits of mitigating a given risk, hence no control should be applied.
Corrective control is a type of control and hence it should not be adopted.
D: The risk is being exploited when there is an opportunity, i.e., the risk is positive. But here in this case, negative risk exists as it needs mitigation. So, exploitation cannot be done.