は
間違い。リスク要因は定性的な観点から高/中/低で表現される。
分析では、定量分析では、そうではありません。

* 運用データとは、顧客情報、財務記録、取引など、システムやアプリケーションの実際の運用で使用されるデータです。
* テストデータとは、ダミーデータ、サンプルデータ、シミュレートされたデータなど、システムやアプリケーションのテストや開発に使用されるデータです。
* リスク担当者は、テスト環境で実稼働データが使用されていることに気付きました。これは、実稼働データへの不正アクセス、使用、開示、変更、または破壊のリスクがあり、データの機密性、整合性、および可用性に影響を及ぼす可能性があることを示しています。
* このような状況でリスク担当者が主に懸念するのは、データの機密性です。つまり、リスク担当者は、データの価値、重要性、機密性を評価し、データが侵害されたり失われたりした場合の影響や結果がどうなるかを評価する必要があります。
* データの機密性は、データを保護するために必要な保護と制御のレベル、およびリスク対応アクションの優先度と緊急性を決定するのに役立ちます。
* その他のオプションは、この状況ではリスク担当者の主な関心事ではありません。それらは二次的なものであるか、データ保護にとって必須ではありません。
この回答の参考文献は次のとおりです。
* リスクITフレームワーク、32ページ
* 情報技術とセキュリティ、26ページ
* リスクシナリオスターターパック、24ページ

主要業績評価指標 (KPI) は、組織が主要目標をどれだけ効果的に達成しているかを示す測定可能な値です。KPI は、リスク管理プログラムの進捗状況とパフォーマンスを評価するだけでなく、改善すべき領域や組織の戦略との整合を特定するためにも使用できます。
KPI は、プログラムがどの程度統合され、一貫性があり、積極的で、付加価値があるかを反映できるため、リスク管理プログラムの成熟度を判断する際に最も有用な情報を提供できます。
KPI を業界ベンチマークやベスト プラクティスと比較することで、他の組織と比較したプログラムの成熟度を評価することもできます。その他のオプションは、リスク管理プログラムの成熟度を明確かつ包括的に把握できず、むしろプログラムの特定の側面や出力に重点が置かれているため、KPI ほど有用ではありません。参考文献 = リスクおよび情報システム制御研究マニュアル、第 1 章、セクション 1.3.2、18 ページ。