The most important step when developing risk scenarios using a list of generic scenarios based on industry best practices is to validate the generic risk scenarios for relevance. The generic risk scenarios may not be applicable or suitable for the specific context, objectives, and environment of the organization. Therefore, the risk practitioner should validate the relevance of the generic risk scenarios by comparing them with the organization's risk profile, risk appetite, and risk criteria. Assessing generic risk scenarios with business users, selecting the maximum possible risk scenarios from the list, and identifying common threats causing generic risk scenarios are other steps that may be useful, but they are not as important as validating the relevance of the generic risk scenarios. References = ISACA Certified in Risk and Information Systems Control (CRISC) Certification Exam Question and Answers, question 12; CRISC Review Manual, 6th Edition, page 215.

CRISC レビュー マニュアル (デジタル版) によると、アプリケーションの許容可能なダウンタイムと実際の復旧時間の間にギャップがある場合の次の行動は、ギャップを縮小するために利用可能な代替案の費用便益分析を準備することです。費用便益分析では、回避、緩和、移転、受け入れなどのさまざまなリスク対応オプションを実装するコストと、リスクの影響と可能性を軽減するメリットを比較する必要があります。費用便益分析では、リスク対応オプションと企業のリスク許容度、ビジネス目標、戦略との整合性も考慮する必要があります。費用便益分析は、アプリケーション所有者とリスク所有者が、アプリケーションの価値を最適化し、残存リスクを最小限に抑える最も適切なリスク対応オプションを選択するのに役立ちます。
参考文献 = CRISC レビューマニュアル (デジタル版)、第 3 章: IT リスク対応、セクション 3.2: リスク対応プロセス、162-1631 ページ

説明/参照:
Explanation:
プロジェクト チーム メンバーは、リスク イベントと関連するリスク対応に対する所有権と責任感を育むために、リスクの特定に関与する必要があります。
リスクの特定は、プロジェクトに影響を与える可能性のあるリスクを特定するプロセスです。また、リスクの特性も文書化します。リスクの特定プロセスは、プロジェクト リスク管理の知識領域の一部です。プロジェクトがライフ サイクルを進むにつれて、新しいリスクが出現したり、判明したりする可能性があるため、リスクの特定は反復的なプロセスです。このプロセスにはプロジェクト チームが関与し、リスクと関連するリスク対応アクションに対するオーナーシップと責任感を育み、維持できるようにする必要があります。リスク レジスターは、このプロセスの唯一の出力です。
誤った回答:
A、B、C: これらはこの質問に対する有効な回答ではありません。

セクション: 巻 C
Explanation:
定期的な監査により情報セキュリティコンプライアンスのギャップを発見できるため、定期的な監査により、アウトソーシングされたサービスプロバイダーが企業の情報セキュリティポリシーに準拠していることを確認できます。
誤った回答:
A: 侵入テストではセキュリティの脆弱性を特定できますが、情報のコンプライアンスを保証することはできません。
B: Service level monitoring can only identify operational issues in the enterprise's operational environment. It does not play any role in ensuring that outsourced service provider complies with the enterprise's information security policy.
C: Training can increase user awareness of the information security policy, but is less effective than periodic auditing.