侵入テストで Web 対応アプリケーションに複数の脆弱性が見つかった後、リスク対応を選択する最初のステップは、脆弱性に関連するリスク レベルを評価することです。これは、脆弱性が悪用される可能性と影響を評価し、組織のリスク許容度とリスク志向と比較することを伴うためです。脆弱性を修正し、リスク対応アクション プランを作成し、脆弱性を伝えることは、リスク対応を選択するための可能なステップですが、リスク レベルと最適なリスク対応に関する事前の知識が必要であるため、最初のステップではありません。参考文献 = CRISC レビュー マニュアル、第 7 版、108 ページ。

Explanation/Reference:
Explanation:
The process for selecting and implementing measures for impacting risk in the environment is called risk treatment.
Incorrect Answers:
C: The process of analyzing and evaluating risk is called risk assessment.
D: Risk management is the coordinated activities for directing and controlling the treatment of risk in the organization.

リスク許容度を超えるリスク受容を管理するリスク担当者の最も重要な責任は、上級管理職による承認を確認することです。リスク受容とは、リスクとその潜在的な結果を認め、受け入れることに合意するリスク対応戦略​​です。リスク許容度とは、期待されるまたは望ましい結果または目標からの許容可能な変動または逸脱のレベルです。リスク受容がリスク許容度を超える場合、組織が処理または負担できる以上のリスクを負っていることを意味します。したがって、リスク担当者は、リスク受容が上級管理職によって承認されていることを確認する必要があります。上級管理職には、リスク管理の決定を下し、それが組織の戦略および目標と整合していることを保証する権限と責任があります。その他のオプションは、リスク受容の調整、条件、または文書化に関連するものであり、リスク受容の承認または検証に関連するものではないため、上級管理職による承認を確認することほど重要ではありません。参考文献 = リスクおよび情報システム制御研究マニュアル、第 3 章: IT リスク対応、セクション 3.2: IT リスク対応オプション、133 ページ。