リスク アペタイトの適用は、リスク評価方法を伝えるためのトレーニング セッションで取り上げる最も重要なトピックです。リスク アペタイトとは、組織が目的を追求するために受け入れるリスクの量と種類です。これはリスク管理フレームワークの重要な要素であり、リスク評価プロセスに影響します。リスク アペタイトの適用は、リスクの評価と優先順位付け、リスク対応とビジネス目標の整合、およびリスク情報の利害関係者への伝達のための共通基盤を提供することで、組織内で一貫したリスク観を確保するのに役立ちます。その他のオプションは、関連性があり役立つ場合もありますが、リスク評価方法を伝えるためのトレーニング セッションで取り上げる最も重要なトピックではありません。リスク要因の適用は、定義済みの基準またはスケールに基づいてリスクの可能性と影響を定量化または定性化する手法です。リスク イベント データを参照することは、過去または現在のインシデントに基づいてリスクを識別および分析するための情報源です。リスク文化を理解することは、組織とその従業員のリスク行動と姿勢に影響を与える要因です。参考文献 = CRISC レビュー マニュアル、40 ～ 411 ページ。 CRISC 復習問題、解答、解説マニュアル、612 ページ

セクション: 巻 A
Explanation:
リスク優先度番号を計算する手順は次のとおりです。
* 潜在的な障害の影響を特定する
* 潜在的な原因を特定する
* 特定された各潜在的原因間のリンクを確立する
* 潜在的な故障モードを特定する
* 重大度、発生状況、検出状況を評価する
* 1 ～ 10 のスケール (低評価から高評価) を使用して、これらの評価にスコアを付けます。
* 特定の障害モードの RPN を、重大度に発生回数と検出回数を乗じて計算します。
RPN = 重大度 * 発生 * 検出
したがって、
繰り返し = 4 * 5 * 6
= 120
誤った回答:
B、C、D: これらは、重大度、発生率、検出の指定された値に対する RPN ではありません。

Low-probability, high-impact events are those that have a low chance of occurring but would cause significant harm if they do. These events are often difficult to predict and quantify, but they can have a major impact on the organization's objectives, reputation, or operations. By including these events in a risk assessment, the organization can develop understandable and realistic risk scenarios that reflect the potential consequences of different outcomes1. This can help the organization to prioritize its risk management activities and allocate its resources accordingly.
References = Risk and Information Systems Control Study Manual, Chapter 5: Risk Assessment Process

Explanation/Reference:
Explanation:
Risk governance is a continuous life cycle that requires regular reporting and ongoing review, not once a year.
Incorrect Answers:
A, C, D: These are true for risk governance.

組織がシステムを変更してクレジットカード決済の受け入れを可能にする際に、データ漏洩のリスクを軽減するために最初に行うべきことは、リスク評価を実施することです。これは、システムとデータに影響を及ぼす可能性のある潜在的なリスク、脅威、脆弱性、およびそれらがビジネス目標とプロセスに及ぼす可能性と影響を特定して分析するプロセスだからです。リスク評価は、現在のリスク レベルとリスクの露出度を判断し、適切なリスク対応と制御を選択して実装するための基礎を提供するのに役立ちます。その他のオプションは、組織が最初に行うべきことではありません。その理由は次のとおりです。
* オプション B: セキュリティ戦略の更新はリスク評価の実施の結果ですが、組織が最初に行うべきことではありません。セキュリティ戦略は、システムとデータのセキュリティ目標、ポリシー、標準、手順を定義する計画であり、リスク評価の結果とビジネス要件および期待に一致している必要があります。
* オプション C: 追加のコントロールを実装することは、リスク評価の結果に対する対応ですが、組織が最初に行うべきことではありません。コントロールとは、リスク、脅威、脆弱性の発生や影響を防止または軽減し、システムとデータの機密性、整合性、可用性を確保するために設計および実装される対策です。
* オプション D: リスク レジスタの更新はリスク評価プロセスの一部ですが、組織が最初に行うべきことではありません。リスク レジスタは、特定されたリスク、その特性、ステータス、および対応を文書化して追跡するツールであり、システムとデータの現在のリスク プロファイルとエクスポージャーを反映するために定期的に更新する必要があります。参考文献 = リスクおよび情報システム制御研究マニュアル、第 7 版、ISACA、2020 年、p. 108。