説明/参照:
Explanation:
発生確率が低く影響度が低いリスクは、将来の監視のために監視リストに追加する必要があります。
誤った回答:
A: これらのイベントに対するリスク対応としては、それを受け入れることが考えられますが、最善の答えは、まずそれらを監視リストに追加することです。
C: リスクは無視されません。少なくとも監視対象リストに追加されます。
D: リスクは最終的には登録簿に追加される可能性がありますが、最善の答えは、まずそれらを監視対象リストに追加して監視することです。

CRISC レビュー マニュアル (デジタル版) によると、リスク担当者が IT 部門の主要システムの復旧時間目標 (RTO) が企業の事業継続計画 (BCP) と一致していないことに気付いた場合の次の行動は、IT 部門に相談して RTO を更新することです。RTO とは、予期しない災害、障害、または同等のイベントが発生した後に、アプリケーション、コンピューター、ネットワーク、またはシステムがダウンしても許容される最長時間です。RTO は、中断が発生した場合に組織が重要なビジネス機能を継続または再開できるようにする一連のポリシー、手順、およびリソースである BCP と一致させる必要があります。IT 部門に相談して RTO を更新すると、次のことが可能になります。
* RTOが現在のビジネス要件と主要システムの可用性と回復に対する期待を反映していることを確認する
* 既存のITリソースと機能でRTOを達成する実現可能性と費用対効果を評価する
* RTOを満たすためにITインフラストラクチャ、プロセス、および制御に必要な変更や改善を特定し、実装する
* RTOとIT復旧手順をテストおよび検証し、BCPとの互換性と一貫性を確認します。
* RTO と IT 復旧計画について、事業主、リスク所有者、上級管理職などの関係者と連絡を取り、調整する 参考文献 = CRISC レビューマニュアル (デジタル版)、第 3 章: IT リスク対応、セクション 3.3: リスク対応オプション、174-1751 ページ

Controls are the mechanisms or procedures that ensure the security, reliability, and quality of an IT system or process. Controls can be preventive, detective, or corrective, and can be implemented at various levels, such as physical, logical, administrative, or technical. Controls should be defined during the design phase of system development because it is more cost-effective to determine controls in the early design phase. The design phase is the stage where the system requirements are translated into a detailed technical plan, which includes the system architecture, database structure, user interface, and system components. The design phase also defines the system objectives, goals, and performance criteria. Defining controls during the design phase can help ensure that the controls are aligned with the system requirements and objectives, and that they are integrated into the system design from the start. Defining controls during the design phase can also help avoid or reduce the costs and risks associated with implementing controls later in the development or operation phases, such as rework, delays, errors, failures, or breaches. References = THE SYSTEM DEVELOPMENT LIFE CYCLE (SDLC), p. 2-3, System Development Life Cycle - GeeksforGeeks, 7.3: Systems Development Life Cycle - Engineering LibreTexts, What Is SDLC? 7 Phases of System Development Life Cycle - Intetics.

リスク管理担当者にとって最善の行動は、組織が確立したインシデント報告手順に従うことです。これにより、インシデントが適切に文書化され、エスカレーションされ、タイムリーかつ一貫した方法で解決されることが保証されます。最高リスク管理責任者にインシデントを報告したり、従業員に電子メールをフィッシング チームに転送するようアドバイスしたり、従業員に電子メールを完全に削除するようアドバイスしたりすることは、組織のポリシーと標準に準拠していない可能性があり、インシデントの根本原因と影響に対処していない可能性があるため、最善の行動ではありません。参考文献 = リスクおよび情報システム制御研究マニュアル、第 7 版、第 4 章、セクション 4.2.2.1、193 ページ。