データ損失防止 (DLP) コントロールは、組織内の機密データ侵害やデータ漏洩インシデントを検出して阻止しようとするテクノロジです。DLP コントロールは、意図的か偶発的かを問わず、クレジットカード番号などの機密データが権限のない人物に開示されるのを防ぐために使用されます1。クレジットカード データの損失を防ぐために実装された DLP コントロールの有効性を確認するための最良の方法は、クレジットカード番号の送信をテストすることです。これは、電子メール、メッセージング、ファイル転送などのさまざまなチャネルを介して送受信されたクレジットカード データを DLP コントロールが適切に識別してブロックできることを確認するための手法です。クレジットカード番号の送信をテストすると、DLP コントロールの正確性と信頼性を評価し、誤検知や誤検知を識別して修正するのに役立ちます。その他のオプションは、クレジットカード データの損失を防ぐために実装された DLP コントロールの有効性を確認するための最良の方法ではありませんが、役立ち、補完的である可能性があります。
不正なデータ転送のログを確認することは、誰が、何を、いつ、どこで、どのようにデータを転送したかなど、DLP 制御アクティビティとインシデントを監視および分析するための手法です。ただし、ログを確認することはリアクティブで受動的なアプローチであるのに対し、転送をテストすることはプロアクティブで能動的なアプローチです。DLP 制御を構成してクレジットカード番号をブロックすることは、データ パターン、検出方法、および応答アクションの定義など、DLP 制御ルールとポリシーを設定するための手法です。
ただし、DLP コントロールの構成は前提条件と準備ステップであり、送信のテストは検証と確認ステップです。DLP ルール変更コントロール プロセスのテストは、承認の取得、変更の文書化、変更のテスト、変更の伝達など、DLP コントロール ルールとポリシーが管理され調整された方法で更新および維持されるようにするための手法です。ただし、DLP ルール変更コントロール プロセスのテストは品質とガバナンスのステップであり、送信のテストはパフォーマンスと機能のステップです。参考資料 = データ損失防止 (DLP) とは? | Digital Guardian1; CRISC レビュー マニュアル、164 ～ 1652 ページ; CRISC レビューの質問、回答、および説明マニュアル、ページ
833

リスク プロファイルは、組織のリスク許容度とリスク許容度の変更後に更新する最も重要なドキュメントです。リスク プロファイルには、組織のリスク エクスポージャーの現状と目標状態、およびリスク対応戦略​​とアクションがまとめられているためです。リスク プロファイルには、組織のリスク許容度とリスク許容度が戦略目標と運用能力と整合していることが反映されている必要があります。リスク プロファイルを更新することで、組織はリスクを効果的かつ効率的に監視および管理できるようになります。
参考文献
*ISACA CRISC レビューマニュアル、第 7 版、ドメイン 1: IT リスク識別、セクション 1.2.1: リスク プロファイル
*リスクプロファイル - ISACA
*リスクプロファイルとは何か？定義、例、その他

セクション: ボリューム D
Explanation:
この変更は成果物の変更に関わるため、コスト変更管理システムを通過する必要があります。コスト変更管理システムは、変更が発生した理由、コストが及ぼす影響、プロジェクトがどのように対応すべきかを検討します。
誤った回答:
B: これは契約変更ではありません。契約が存在する、または契約が存在する場合は材料費が契約条件外であるという証拠に基づきます。時間と材料の契約を検討した場合、この性質の変更は契約条件に従って受け入れられる可能性があります。ベンダーが契約条件を変更したい場合は、変更を契約変更管理システムに入力するのが適切です。
C: 材料費のせいでプロジェクトの範囲が変わることはありません。
D: 変更に対して常に考慮する必要がある変更管理システムは、スケジュール、コスト、範囲、契約の 4 つです。

The greatest concern for a risk practitioner when process documentation is incomplete is the inability to identify the risk owner. The risk owner is the person or entity that has the authority and responsibility to manage a specific risk or a group of related risks. The risk owner helps to identify, assess, and respond to the risks, and to monitor and report on the risk performance and improvement. The risk owner also helps to communicate and coordinate the risk management activities with the relevant stakeholders, such as the board, management, business units, and IT functions. The risk owner is usually identified in the process documentation, which describes the roles, responsibilities, procedures, and resources for each process. The inability to identify the risk owner is a major concern for the risk practitioner, because it may affect the accountability, transparency, and effectiveness of the risk management process, and may lead to confusion, conflicts, or gaps in the risk management activities. The other options are not as concerning as the inability to identify the risk owner, although they may also pose some difficulties or limitations for the risk management process. Inability to allocate resources efficiently, inability to complete the risk register, and inability to identify process experts are all factors that could affect the quality and timeliness of the risk management process, but they do not necessarily affect the authority and responsibility of the risk management process. References = Risk and Information Systems Control Study Manual, Chapter 2, Section 2.2.1, page
2-11.