正解: B
状況を解決し、包括的なリスク対応計画を定義する最も効果的な方法は、根本原因分析を実行することです。根本原因分析は、問題またはインシデントの発生につながった根本的な要因または原因を特定して対処する方法です1。この場合、問題またはインシデントは、組織に影響を与えたマルウェア感染です。根本原因分析を実行することで、組織はマルウェアがシステムに感染できた方法と理由、どの脆弱性または弱点が悪用されたか、どの制御またはプロセスが失敗または欠落していたか、およびどのようなアクションまたは決定が状況の一因となったかを判断できます。根本原因分析は、組織が同様のインシデントの再発を防止または軽減するのに役立つだけでなく、リスク管理プロセスの有効性と効率性を向上させるのに役立ちます。根本原因分析は、組織が包括的なリスク対応計画を定義するのにも役立ちます。これは、リスクの軽減、回避、移転、または受け入れなど、リスクを修正するために実行される一連のアクションまたは対策です2。
根本原因分析の調査結果と推奨事項に基づいて、組織はマルウェア リスクだけでなく、その他の関連リスクや新たなリスクに対して最も適切なリスク処理オプションを選択して実装できます。リスク処理計画には、リスク処理アクションの役割と責任、リソース、タイムライン、パフォーマンス指標も含める必要があります3。その他のオプションは、根本原因分析ほど徹底的ではないか、関連性が低いため、状況を解決して包括的なリスク処理計画を定義するための最も効果的な方法ではありません。ギャップ分析は、プロセス、システム、または組織の現在の状態と望ましい状態を比較し、それらのギャップまたは違いを特定する方法です4。ギャップ分析は、組織が改善または強化する領域、および望ましい状態を達成するための機会や課題を特定するのに役立ちます。ただし、ギャップ分析は、マルウェア感染の原因や結果、またはリスクを軽減するためのアクションや対策に対処しないため、状況を解決して包括的なリスク処理計画を定義するための最も効果的な方法ではありません。影響評価とは、変更、決定、またはアクションがプロセス、システム、または組織に及ぼす潜在的な影響や結果を推定する方法です5。影響評価は、提案または実装された変更、決定、またはアクションの利点とコスト、およびリスクと機会を組織が評価するのに役立ちます。
However, an impact assessment is not the most effective way to resolve the situation and define a comprehensive risk treatment plan, as it does not investigate the origin or nature of the malware infection, or the solutions or alternatives to manage the risk. A vulnerability assessment is a method of identifying and analyzing the weaknesses or flaws in a process, system, or organization that can be exploited by threats to cause harm or loss6. A vulnerability assessment can help the organization to discover and prioritize the vulnerabilities, as well as to recommend and implement the controls or measures to reduce or eliminate them.
However, a vulnerability assessment is not the most effective way to resolve the situation and define a comprehensive risk treatment plan, as it does not consider the root causes or impacts of the malware infection, or the risk treatment options or plans to address the risk. References = Risk and Information Systems Control Study Manual, 7th Edition, Chapter 2, Section 2.1.8, Page 61.
