セクション: ボリューム D
説明

The greatest risk to change control in business application development over the complete life cycle is the introduction of requirements that have not been approved. Requirements are the specifications or expectations of the business users or stakeholders for the application, such as the features, functions, or performance1. Change control is the process of identifying, evaluating, approving, and implementing changes to the application, such as the design, code, or configuration2. By introducing requirements that have not been approved, the organization can face significant risks, such as:
* Scope creep, which is the uncontrolled or unauthorized expansion of the project scope, and can result in increased costs, delays, or errors3.
* Quality issues, which can affect the reliability, usability, or security of the application, and can lead to defects, failures, or breaches4.
* Stakeholder dissatisfaction, which can arise from the mismatch or inconsistency between the delivered application and the expected application, and can cause complaints, disputes, or litigation5.
The other options are not the greatest risk to change control, because:
* Emphasis on multiple application testing cycles is not a risk, but rather a benefit or a best practice for change control, as it can help to ensure that the application meets the requirements and standards, and that the changes are effective and efficient.
* Lack of an integrated development environment (IDE) tool is a challenge, but not a risk, for change control, as it can affect the productivity, collaboration, or integration of the developers, and can cause difficulties or inefficiencies in the development process. However, it does not directly affect the requirements or the quality of the application, and it can be overcome by using other tools or methods.
* Bypassing quality requirements before go-live is a risk, but not the greatest risk, for change control, as it can compromise the quality or performance of the application, and can expose the organization to errors, failures, or breaches. However, it is less likely or frequent than introducing requirements that have not been approved, and it can be detected or prevented by using quality assurance or quality control techniques.
References
* Requirements - CIO Wiki
* Change Control - CIO Wiki
* Scope Creep - CIO Wiki
* Quality - CIO Wiki
* Stakeholder Management - CIO Wiki
* [Software Testing - CIO Wiki]
* [Integrated Development Environment (IDE) - CIO Wiki]
* [Quality Requirements - CIO Wiki]
* [Software Development Life Cycle - CIO Wiki]

* IT セキュリティ業務のアウトソーシングは、コスト削減、専門スキルへのアクセス、サービス品質の向上などのメリットをもたらす一般的な方法です12。ただし、アウトソーシングには、制御の喪失、依存性、契約上の問題、サービスの障害などのリスクも伴います12。
* 組織が IT セキュリティ業務を第三者にアウトソーシングする場合、アウトソーシングした業務に関連するリスクの説明責任は移転されません。説明責任とは、割り当てられた責任の遂行について責任を負う義務です34。
* 組織の経営陣は、組織のリスク許容度、戦略、目標を定義し、組織の IT セキュリティ運用がそれらと整合していることを確認する責任があるため、アウトソーシングされた業務に関連するリスクに対して最終的な責任を負います34。
* 組織の経営陣は、第三者の選択、契約、監督、および第三者が合意されたサービスレベル、標準、コンプライアンス要件を満たしていることを確認する責任も負います34。
* 組織の経営陣は、アウトソーシングされた業務に関連するリスクを監視および報告し、必要に応じて是正措置を講じる責任も負います34。
* その他のオプションは最終的な責任を負うものではありませんが、アウトソーシングされた業務に関して異なる役割と責任を持ちます。例:
* サードパーティの経営陣は、契約に従って IT セキュリティ サービスを提供すること、および自社の組織内のリスクを管理することに責任を負います34。彼らは組織の経営陣に対して説明責任を負いますが、組織の利害関係者に対しては説明責任を負いません。
* サードパーティの制御オペレーターは、サービス仕様に従って IT セキュリティ制御を実装および運用し、問題やインシデントを組織の経営陣に報告する責任を負います34。彼らはサードパーティの経営陣に対して説明責任を負いますが、組織の経営陣や利害関係者に対しては説明責任を負いません。
* 組織のベンダー管理オフィスは、組織と第三者との関係を促進し、アウトソーシングプロセスにおいて組織の経営陣をサポートする責任があります34。彼らは組織の経営陣に対して責任を負いますが、アウトソーシングされた業務に関連するリスクについては責任を負いません。参考文献
* 1: IT セキュリティのアウトソーシング: リスク管理の観点、ISACA ジャーナル、第 2 巻、2019 年
* 2: アウトソーシングのサイバーセキュリティリスク、サイバーセキュリティインテリジェンス、2022年1月4日
* 3: 情報セキュリティの役割と責任に対する説明責任、パート1、ISACAジャーナル、第1巻
2019年5月
* 4: リスク IT フレームワーク、ISACA、2009 年

The internal environment for risk management is the foundational level of the COSO ERM framework, which describes the philosophical basics of managing risks within the implementing enterprise. The different aspects of the internal environment include theenterprise's: Philosophy on risk management Risk appetite Attitudes of Board of Directors Integrity and ethical values Commitment to competence Organizational structure Authority and responsibility Human resource standards

Section: Volume D