顧客データの漏洩による固有のリスクの影響を評価するための最適な入力は、保有する顧客レコードの数です。固有のリスクの影響は、既存のコントロールを検討する前の、リスク イベントの潜在的な重大度または結果の尺度です。固有のリスクの影響は、財務、運用、評判、または法的要因などの定量的または定性的な要因に基づくことができます。保有する顧客レコードの数は、漏洩する可能性のあるデータの量と種類、および漏洩によって生じる可能性のある損害または損失を直接反映するため、最適な入力です。保有する顧客レコードの数は、漏洩の可能性と頻度、およびコントロールの有効性と効率を推定するのにも役立ちます。組織が保有する顧客レコードの数が多いほど、漏洩による固有のリスクの影響が高くなり、組織が実装および維持する必要があるコントロールが増えます。その他のオプションは、固有のリスクの影響に関連または影響を与える可能性がありますが、最適な入力ではありません。顧客データをホストするデータベースの数は、データ ストレージおよび管理システムの複雑さや多様性の尺度となりますが、漏洩する可能性のあるデータの量や種類、または漏洩によって生じる可能性のある損害や損失を直接示すものではありません。
顧客データをホストするデータベースの数も、システムの設計と構成によって異なる場合があり、固有のリスクの影響を反映しない可能性があります。暗号化された顧客データベースの数は、データ ストレージおよび管理システムのセキュリティまたは保護の尺度ですが、固有のリスクの影響への入力ではなく、制御の実装の出力または結果です。暗号化された顧客データベースの数は、暗号化方法とキーの品質と信頼性によっても左右される可能性があり、固有のリスクの影響を示すものではありません。顧客データにアクセスできるスタッフの数は、スタッフによる不正または悪意のあるアクションなど、内部の脅威に対するデータの露出または脆弱性の尺度です。顧客データにアクセスできるスタッフの数は、固有のリスクの影響に影響を与える可能性がありますが、ハッカーや競合他社などの外部の脅威、漏洩する可能性のあるデータの量やタイプ、漏洩によって生じる可能性のある損害や損失を考慮していないため、最適な入力ではありません。参考資料 = 固有のリスクとは? データ侵害のリスクにさらされる可能性があります | UpGuard、データ漏洩: データ漏洩とは、機密データがインターネット上で意図せず公開されることです。たとえば、従業員が顧客データ ファイルをセキュリティ保護されていないサーバーにアップロードする場合があります。暗号化の欠如: これは、情報を暗号文に変換せずに保存、送信、または転送することです。

リスク イベントの根本原因分析を実施することは、リスク イベントとそれに伴う損失の増加傾向が確認された場合にリスク担当者が最初に行うべき推奨事項です。これは、リスク イベントの根本的な原因と発生源を特定し、それらに対処するための適切な措置を決定するのに役立ちます。
根本原因分析は、データの収集と分析、根本原因の発見、再発防止やリスク イベントの影響軽減のためのソリューションの実装という体系的なプロセスです。リスク軽減戦略に関する従業員の教育、リスク イベントとインシデント管理プロセスの統合、将来のリスク イベント防止のためのコントロールの実装は、最初の推奨事項ではありませんが、リスク イベントの根本原因分析を実施することで得られる可能性のある結果やアクションです。参考資料 = CRISC リスクおよび情報システム管理認定 - 質問 208、ISACA リスクおよび情報システム管理認定 (CRISC) 認定試験の質問と回答、質問 208。

Residual risk is the risk that remains after the implementation of risk responses. An effective risk management program should aim to reduce the residual risk to a level that is acceptable by the enterprise, in alignment with its risk appetite and tolerance. The reduction of residual risk indicates that the risk responses are appropriate and effective, and that the enterprise is achieving its objectives while managing its risks. The other options are not necessarily indicative of an effective risk management program, as they may depend on other factors, such as the reporting culture, the audit scope and methodology, and the nature and source of the inherent risk. References = Risk and Information Systems Control Study Manual, 7th Edition, Chapter 1, Section
1.2.3.1, pp. 24-25.