セクション: 巻 B
Explanation:
定量的リスク評価では、リスクをドル価値などの数値で定量化します。これには、データを収集し、それを標準の計算式に入力することが含まれます。結果は、リスクの優先度を識別するのに役立ちます。これらの結果は、制御の有効性を判断するためにも使用されます。定量的リスク評価に関連する用語には、次のものがあります。
* 単一損失予想（SLE） - 単一のインシデントから予想される総損失を指します。このインシデントは、脆弱性が脅威によって悪用されたときに発生する可能性があります。損失は、次のようなドル値で表されます。
1,000 ドル。これにはデータ、ソフトウェア、ハードウェアの価値が含まれます。
SLE = 資産価値 * エクスポージャー係数
* 年間発生率 (ARO) - 1 年間にインシデントが発生すると予想される回数を指します。過去 1 年間にインシデントが月に 2 回発生した場合、ARO は 24 です。何も変化がなければ、来年は 24 回発生する可能性があります。
* 年間損失予想 (ALE) - 1 年間の予想損失です。ALE は SLE と ARO を掛けて計算されます。SLE はドル値で表されますので、ALE もドル値で表されます。たとえば、SLE が 1,000 ドルで ARO が 24 の場合、ALE は 24,000 ドルになります。ALE = SLE * ARO
* セーフガード値 - これはコントロールのコストです。コントロールはリスクを軽減するために使用されます。たとえば、ウイルス対策ソフトウェアの平均コストはコンピュータ1台あたり50ドルです。コンピュータが50台ある場合、セーフガード値は
2,500ドル。
誤った回答:
A: リスク管理で最初に行うべきことは、リスクが発生する可能性のあるプロジェクトの領域を特定することです。これはリスク特定と呼ばれます。起こり得るリスクをすべてリストアップすることは、リスクが発生する前に対処できるため、企業にとって非常に生産的であることが証明されています。リスク特定では、脅威と機会の両方が考慮されます。どちらもある程度のリスクを伴うためです。
C: 定量的リスク評価とは異なり、定性的なリスク評価では金銭的な価値は割り当てられません。むしろ、リスクの発生確率と影響度に基づいてリスクのレベルを決定します。これらの値は専門家の意見を集めることによって決定されます。
* 確率 - 特定のリスクの発生と再発の可能性を、単独または組み合わせて確立します。リスクは、脅威が脆弱性を悪用したときに発生します。リスクが発生する確率を定義するために、スケーリングが行われます。スケールは、低、中、高などの単語の値に基づくことができます。これらの単語に、10% が低、90% が高のようにパーセンテージを割り当てることもできます。
* 影響 - 影響は、特定されたリスクの大きさを特定するために使用されます。リスクは、何らかの損失につながります。
ただし、損失をドルの価値として数値化する代わりに、影響評価では「低」、「中」、「高」などの言葉を使用することもできます。影響は相対的な値として表されます。たとえば、低は 10、中は 50、高は 100 などです。
リスクレベル = 確率*影響
D: これは、リスク対応計画を実施し、特定されたリスクを追跡し、残存リスクを監視し、新しいリスクを特定し、プロジェクトを通じてリスク プロセスの有効性を評価するプロセスです。

Key control indicators (KCIs) are metrics that measure the performance and effectiveness of the controls that are implemented to mitigate the risks. KCIs can help to monitor the status and health of the controls, as well as to identify any issues or gaps that need to be addressed. The primary reason to adopt KCIs in the risk monitoring and reporting process is to provide assessments of mitigation effectiveness, meaning that they can help to evaluate how well the controls are reducing the risk exposure and achieving the desired outcomes.
KCIs can also help to support the risk management decision making and improvement actions, as well as to demonstrate the value and benefits of the controls. References = Risk and Information Systems Control Study Manual, Chapter 3, Section 3.3.1.2, p. 115-116

データ分類とは、属性と特性に基づいてデータをグループに整理し、対応するデータ セットに当てはまる一連の属性を表すクラス ラベルを割り当てるプロセスです1。データ分類により、組織はデータの価値を理解し、データがリスクにさらされているかどうかを判断し、リスクを軽減するための制御を実装できます1。また、データ分類により、組織は SOX、HIPAA、PCI DSS、GDPR などの関連する業界固有の規制要件に準拠できます1。
データ分類スキームを開発する際に考慮すべき最も重要な基準は、データのビジネス上の重要性と機密性です2。ビジネス上の重要性とは、データの損失や漏洩が組織の業務、評判、目標に与える影響を指します2。機密性とは、データに必要な機密性、整合性、可用性のレベルを指します2。非常に重要で機密性の高いデータは、誤った取り扱いや侵害が発生した場合に組織に最も大きなリスクをもたらすため、それに応じて分類および保護する必要があります2。
データ分類のベストプラクティスは次のとおりです3:
* データのインベントリを作成する: 組織内のすべてのデータ資産を特定します。
* Define data categories: Create a classification scheme that suits your organization's needs.
* Assign responsibility: Designate individuals or teams responsible for data classification.
* Implement classification tools: Invest in tools and technologies that facilitate data classification.
* Educate and train: Raise awareness and provide guidance on data classification policies and procedures.
* Review and audit: Monitor and evaluate the effectiveness and compliance of data classification.
References = What is Data Classification? | Best Practices & Data Types | Imperva, What Is Data Classification? The 5 Step Process & Best Practices for Classifying Data | Splunk, Top 10 Best Practices for Securing Your Database - 2023

The risk owner is primarily accountable for risk treatment decisions, as they are the person or entity with the authority and responsibility to manage a particular risk. The risk owner should evaluate the available risk response options, select the most appropriate one, implement the chosen response, and monitor its effectiveness. The risk owner should also communicate and report on the risk status and any issues or changes.
The business manager, data owner, and risk manager are not primarily accountable for risk treatment decisions, although they may be involved in the risk management process. The business manager is responsible for the overall performance and objectives of a business unit or function. The data owner is responsible for the security and quality of a specific data asset. The risk manager is responsible for facilitating and coordinating the risk management activities across the organization. References = Risk and Information Systems Control Study Manual, Chapter 2: IT Risk Identification, page 47.

Section: Volume D
Explanation:
Change requests must be documented to be considered. Alice should create a change request form and follow the procedures of the change control system.