Section: Volume D
Explanation/Reference:

新しいソフトウェア製品の市場投入までの時間の短縮がビジネスの最優先事項である環境では、リスク担当者の最大の関心事は、IT 開発プロジェクトに十分なリソースが割り当てられているかどうかです。
リソースには、高品質のソフトウェア製品をタイムリーに計画、設計、開発、テスト、提供するために必要な人的、財務的、技術的、および物理的資産が含まれます。IT 開発プロジェクトのリソースが不足すると、遅延、エラー、欠陥、やり直し、スコープ クリープ、顧客の期待や要件を満たせないなどの課題に直面する可能性があります。これらの課題により、競争上の優位性、市場シェア、顧客満足度、または評判を失うリスクが高まります。その他のオプションは、新しいソフトウェア製品の市場投入までの時間を短縮するという中核的なビジネスの優先事項に直接関係していないため、それほど重要ではありません。顧客サポート ヘルプ デスク スタッフのトレーニング、電子メール インフラストラクチャのロールバック プラン、および企業電子メール システムのフィッシング検出は、情報セキュリティと顧客サービスの重要な側面ですが、ソフトウェア製品の開発と提供の主な推進力ではありません。参考文献 = リスクおよび情報システム制御研究マニュアル、第 3 章: IT リスク対応、セクション 3.2: リスク対応オプション、p. 115-116。

BYOD (個人所有デバイスの業務利用) プログラムに関連するリスクを監視するための最も効果的な主要リスク指標 (KRI) は、BYOD デバイスから発生するインシデントの数です。これは、会社のデータやシステムにアクセスするために個人デバイスを使用することに関連する潜在的な脅威と脆弱性の影響と頻度を直接測定するためです。BYOD プログラムは、データの損失や侵害、マルウェア感染、不正アクセス、コンプライアンス違反、デバイスの盗難や紛失など、組織にさまざまなリスクをもたらす可能性があります12。BYOD デバイスから発生するインシデントの数は、これらのリスクを特定して定量化し、インシデントが許容しきい値を超えた場合に適切なリスク対応アクションをトリガーするのに役立ちます。その他のオプションは、BYOD プログラムのリスク レベルや影響を直接測定しないため、最も効果的な KRI ではありません。
BYOD 許容使用ポリシーに署名したユーザーの数は、ユーザーの認識とコンプライアンスを示すかもしれませんが、実際のリスクの露出や軽減を示すものではありません。BYOD プログラムのセキュリティ管理に割り当てられた予算は、リスク管理の投資と効率を示すかもしれませんが、有効性や必要性を示すものではありません。BYOD プログラムに登録されたデバイスの数は、リスクの範囲と規模を示すかもしれませんが、重大性や可能性を示すものではありません。参考資料 = 主要リスク指標: 実用ガイド、KRI 運用リスク管理フレームワーク