説明/参照:
参照: https://www.isaca.org/COBIT/Documents/Risk-IT-Framework_fmk_Eng_0610.pdf

セクション: ボリューム D

組織の現在のリスク シナリオが適切であることを保証する最も効果的な方法は、リスク評価プロセスに利害関係者を関与させることです。利害関係者は、自らの領域と目標に影響を与えるリスク シナリオに関する知識、経験、関心を持っているからです。利害関係者の関与は、リスク シナリオの特定と検証、リスク分析と評価に関する入力とフィードバックの提供、リスク シナリオとビジネス プロセスおよび目標の整合と統合の確保に役立ちます。他のオプションは、利害関係者の関与ほど効果的ではありません。その理由は次のとおりです。
* オプション A: 業界のベスト プラクティスを採用することは、リスク シナリオの品質と一貫性を向上させる良い方法ですが、組織の特定の状況と環境との関連性を保証するものではありません。業界のベスト プラクティスは、組織固有のリスクとニーズを反映していない可能性がある一般的な標準化されたガイドラインです。
* オプション C: 独立した当事者によるリスク シナリオのレビューは、リスク シナリオの正確性と信頼性を検証および強化する便利な方法ですが、組織の内部および外部の利害関係者にとっての関連性を保証するものではありません。独立した当事者は、利害関係者と同じ知識、経験、関心を持たない可能性のある、客観的で公平なレビュー担当者です。
* オプション D: ビジネス ケースで潜在的なリスクを文書化することは、リスク シナリオの重要性と価値を伝えて正当化する上で役立ちますが、組織の現在および将来の状態との関連性を保証するものではありません。ビジネス ケースは簡潔で説得力のある文書ですが、リスク シナリオのすべての側面と次元を網羅しているわけではありません。参考文献 = リスクおよび情報システム制御学習マニュアル、第 7 版、ISACA、2020 年、p. 104。

情報セキュリティ管理の最も重要な目的は、測定可能なリスク軽減を実現することです。
情報セキュリティ管理とは、情報資産の機密性、完全性、可用性を保護するために実装されるポリシー、手順、手法、またはテクノロジです。情報セキュリティ管理の主な目的は、情報資産の不正アクセス、使用、開示、変更、または破壊のリスクを軽減し、情報資産が企業の目標とパフォーマンスをサポートするようにすることです。情報セキュリティ管理は測定可能である必要があります。つまり、リスクの露出を許容レベルまで軽減する効果と効率を評価するための明確で定量化可能な基準が必要です。参考文献 = リスクおよび情報システム管理研究マニュアル、第 7 版、第 3 章、セクション 3.1.1、1151 ページ

ビジネス アプリケーションの所有者は、重要なアプリケーションのパフォーマンスと結果に責任があり、アプリケーションのビジネス要件、期待、および影響を理解しているため、関連するリスクを受け入れるための権限を持っている必要があります。ビジネス アプリケーションの所有者は、アプリケーションの潜在的な利点とコスト、およびアプリケーションの中断または障害の潜在的なリスクと結果との間のトレードオフを評価することもできます。ビジネス アプリケーションの所有者は、リスク受け入れの決定を上級管理職やその他の関係者に伝えて正当化し、リスクが定期的に監視およびレビューされるようにすることもできます。その他のオプションは、関連するリスクを受け入れるための権限を持つことにはあまり適していません。ビジネス継続性ディレクターは、重要なビジネス プロセスとアプリケーションの可用性と回復力の確保を含む、ビジネス継続性戦略の計画と実行を監督する責任があります。ただし、彼らはアプリケーションの所有者ではないため、ビジネスに代わってリスクを受け入れるための十分な知識や権限を持っていない可能性があります。
災害復旧マネージャーは、災害や混乱が発生した場合に IT システムとアプリケーションの復旧と復元を管理する責任があります。ただし、アプリケーションの所有者ではないため、ビジネスに代わってリスクを受け入れるための十分な知識や権限がない場合があります。データ センター マネージャーは、データ センター インフラストラクチャの運用と保守を管理する責任があり、これには IT システムとアプリケーションの物理的および環境的なセキュリティ、電源、冷却、ネットワーク接続の提供が含まれます。ただし、アプリケーションの所有者ではないため、ビジネスに代わってリスクを受け入れるための十分な知識や権限がない場合があります。参考文献 = Risk IT Framework、ISACA、2022、p. 181