は不正解です。残留リスクはリスク対応の出力ではありません。残留リスクは、コントロールを適用した後に残るリスクです。組織からすべてのリスクを排除することは現実的ではありません。代わりに、リスクを許容レベルまで低減するための対策を講じることができます。残されたリスクが残留リスクです。 リスク = 脅威 脆弱性であり、総リスク = 脅威 脆弱性 資産価値 残留リスクは次の式で計算できます。 残留リスク = 総リスク - コントロール 上級管理職は、残留リスクによる損失の責任を負います。彼らは、リスクを回避、転送、緩和、または受け入れるかどうかを決定します。また、どのコントロールを実装するかも決定します。彼らの決定による損失はすべて彼らの責任です。残留リスク評価は、リスクが企業に与える影響を判断するために、緩和後に実施されます。リスク評価では、影響と頻度が再評価され、影響が再計算されます。 回答: A は不正解です。リスク優先順位はリスク対応の出力ではなく、対応を適用する前に行われます。したがって、これはリスク対応の入力の 1 つとして機能し、リスク対応の出力ではありません。

説明/参照:
Explanation:
監査と説明責任のコントロール ファミリは、組織が効果的な監査プログラムを実装するのに役立ちます。監査対象を決定する方法の詳細を提供します。監査ログを保護する方法の詳細を提供します。また、否認防止のために監査ログを使用する方法に関する情報も含まれています。
誤った回答:
B: アクセス制御は、組織が効果的なアクセス制御を実装するのに役立つ制御ファミリです。
ユーザーが職務を遂行するために必要な権限と許可のみを持っていることを保証します。これには、最小権限や職務の分離などの原則が含まれます。
監査および説明責任の一連の制御は、効果的なアクセス制御の実装には役立ちません。

情報システム制御評価を完了した後、結論を裏付ける最も信頼性の高い証拠を提供する情報源は、システムによって生成された情報です。これは、システムの運用とパフォーマンスの実際の客観的なデータと結果を反映し、制御目標と基準に照らして検証およびテストできるためです。その他のオプションは、主観的、偏りがある、または不完全である可能性があり、システム制御の実際の状態または現在の状態を反映していない可能性があるため、最も信頼性の高い情報源ではありません。参考文献
= CRISC レビューマニュアル、第 7 版、154 ページ。

* 組織のアカウント プロビジョニング プロセスとは、組織の情報システムとリソースのユーザー アカウントとアクセス権を作成、変更、または削除するプロセスです。アクセス要件、ポリシー、標準を定義し、組織全体に実装して適用します。
* 組織のアカウント プロビジョニング プロセスの有効性を示す最良の証拠は、権限レビューです。権限レビューとは、組織の情報システムやリソースとやり取りするユーザーまたはエンティティに付与または割り当てられたユーザー アカウントとアクセス権を定期的にまたは定期的にレビューおよび検証することです。権限レビューにより、アカウント プロビジョニング プロセスが正確で、一貫性があり、準拠していること、および組織のセキュリティとビジネスの目標と要件を満たしていることを保証および検証できます。
* 権限レビューは、自動化ツール、レポート、監査、調査などのさまざまな手法を使用して実行できます。権限レビューは、組織のガバナンス、リスク管理、および権限レビューと統合することもできます。
* 管理およびコンプライアンス機能が備わっており、組織のポリシーと標準に準拠しています。
* その他のオプションは、アカウント プロビジョニング プロセスが正確で、一貫性があり、準拠しており、組織のセキュリティとビジネスの目標および要件を満たしていることについて、同じレベルの保証と検証を提供しないため、組織のアカウント プロビジョニング プロセスの有効性を示す最良の証拠にはなりません。
* ユーザー プロビジョニングとは、組織内での ID、役割、または機能に基づいて、特定のユーザーまたはエンティティのユーザー アカウントとアクセス権を作成、変更、または削除するプロセスです。
ユーザー プロビジョニングは、アカウント プロビジョニング プロセスの重要な部分ですが、ユーザー アカウントとアクセス権が適切かつ承認されているかどうか、また組織のポリシーと標準に準拠しているかどうかは示されないため、アカウント プロビジョニング プロセスの有効性を示す最良の証拠にはなりません。
* ロールベースのアクセス制御は、ユーザーまたはエンティティが組織内で実行または引き受ける定義済みのロールまたは機能に基づいて、ユーザー アカウントとアクセス権を付与または制限する制御です。ロールベースのアクセス制御は、アカウント プロビジョニング プロセスの重要な部分ですが、ロールまたは機能が正しく一貫して定義および割り当てられているかどうか、およびそれらが組織のポリシーと標準に準拠しているかどうかを示すものではないため、アカウント プロビジョニング プロセスの有効性を示す最良の証拠にはなりません。
* セキュリティ ログ監視は、組織の情報システムやリソースによって記録またはログに記録されたセキュリティ イベントやアクティビティを収集、分析、およびレポートするプロセスです。セキュリティ ログ監視はアカウント プロビジョニング プロセスの重要な部分ですが、セキュリティ イベントやアクティビティが正当または承認されているかどうか、また組織のポリシーや標準に準拠しているかどうかは示されないため、アカウント プロビジョニング プロセスの有効性を示す最良の証拠にはなりません。参照
* ISACA、CRISC レビューマニュアル、第 7 版、2022 年、40-41、47-48、54-55、58-59、62-63 ページ
* ISACA、CRISC レビュー問題、解答、解説データベース、2022、QID 173
* CRISC 練習クイズと試験準備

リスク担当者は、リスクの特定、分析、評価、処理、監視、伝達などのリスク管理活動の責任者です。組織が承認管理の変更を含む購入プロセスの自動化プロジェクトを実施する場合、リスク担当者の責任は、既存の管理が引き続き定義されたリスクを適切に軽減していることを確認することです。つまり、リスク担当者は、承認管理の自動化と変更によって新しいリスクが生じたり、既存のリスク プロファイルが変更されたりしないこと、および管理が購入プロセスに対して依然として有効かつ適切であることを保証する必要があります。リスク担当者は、管理のパフォーマンスとコンプライアンスも監視し、必要に応じて改善や調整を推奨する必要があります。参考文献 = CRISC レビュー マニュアル、第 7 版、177 ページ。