The first step to reduce the likelihood of infection from the attack is to identify systems that are vulnerable to being exploited by the attack. This would help the organization to assess the scope and severity of the risk, and to prioritize the systems that need immediate protection. Identifying systems that are vulnerable to being exploited by the attack would also help the organization to apply the appropriate patches, updates, or configurations to prevent or mitigate the attack, and to isolate or disconnect the systems that are already infected or compromised. References = Risk and Information Systems Control Study Manual, 7th Edition, Chapter 2, Section 2.1.2, page 60123

説明/参照:
Explanation:
リスク イベントは、プラスの影響の機会を特定するために利用されています。 エクスプロイト対応は、プロジェクトに現れるリスクや脅威を否定する戦略の 1 つです。 この戦略は、組織が機会を確実に実現したい場合に、プラスの影響を伴うリスクに対して選択できます。
リスク イベントを悪用すると、プロジェクトにプラスの影響を与える機会が生まれます。プロジェクトに優秀なリソースをより多く割り当てて完了までの時間を短縮することは、悪用対応の一例です。
誤った回答:
A: リスクを回避するということは、リスクを完全に回避するか、リスク イベントの原因を排除するか、プロジェクト計画を変更してリスク イベントからプロジェクト目標を保護することを意味します。
B: 受け入れは、肯定的または否定的なリスク イベントに適したリスク対応です。リスクを追求するのではなく、イベントを文書化し、リスクが発生することを許容します。受け入れは、発生確率が低く、影響度が低いリスク イベントによく使用されます。
D: 強化は、リスク イベントの発生確率や影響を高めることを目的とした積極的なリスク対応です。

To determine if a risk is under-controlled, the risk practitioner will need to understand the risk tolerance. Risk tolerance is the acceptable or allowable level of variation or deviation from the expected or desired outcomes or objectives. Risk tolerance reflects the amount and type of risk that the organization is willing and able to take. A risk is under-controlled when the risk exposure exceeds the risk tolerance, meaning that the organization is taking on more risk than it can handle or afford. Therefore, the risk practitioner will need to understand the risk tolerance to compare it with the risk exposure and identify the gap or difference. The other options are not as relevant as understanding the risk tolerance, as they are related to the monitoring, identification, or determination of the risk or the IT performance, not the comparison or evaluation of the risk. References = Risk and Information Systems Control Study Manual, Chapter 2: IT Risk Assessment, Section 2.4: IT Risk Response, page 87.