* リスク登録簿とは、特定されたリスクとその対応に関する情報とステータスを記録し、追跡する文書です。リスクの説明、カテゴリ、発生源、原因、影響、確率、優先度、対応、所有者、行動計画、ステータスなどが含まれます。
* 特定されたリスク要因の詳細を含むリスク レジスタを定期的に確認および更新することは、主に、リスクに基づく意思決定、つまりリスクとその対応の検討と評価に基づいて行われる意思決定について、ステークホルダーに最新の参照情報を提供するのに役立ちます。リスクに基づく意思決定についてステークホルダーに最新の参照情報を提供することで、意思決定がリスクのレベルと性質に一貫性があり、適切で、釣り合いが取れていること、また、組織の目的と価値をサポートしていることを保証できます。また、リスクとリターンのバランスを最適化し、組織とそのステークホルダーにとっての価値を創造し、保護するのにも役立ちます。
* その他のオプションは、リスク レジスターの主な目的と利点である、リスクに基づく意思決定のために利害関係者に最新の参照情報を提供するという点に対応していないため、特定されたリスク要因の詳細を記載したリスク レジスターを定期的に確認および更新することの主な利点ではありません。
* リスク評価のリスク シナリオの数を最小限に抑えるということは、リスク分析とレポートの範囲と深さを減らし、新たなリスクや変化するリスクを特定して対応する組織の能力を損なうことを意味します。特定されたリスク要因の詳細を含むリスク レジスタを定期的に確認して更新しても、リスク評価のリスク シナリオの数が必ずしも最小限に抑えられるわけではなく、組織にとって望ましい結果や有益な結果にならない可能性があります。
* 異なる事業部門で特定されたリスク シナリオを集約するということは、組織の異なる部門または機能によって特定されたリスクを結合または統合し、組織のリスク プロファイルの全体的または統合的なビューを作成することを意味します。特定されたリスク要因の詳細を含むリスク レジスタを定期的に確認および更新しても、異なる事業部門で特定されたリスク シナリオが必ずしも集約されるわけではなく、組織のリスク プロファイルの全体的または統合的なビューを実現するための十分または効果的な方法ではない可能性があります。
* 組織の脅威プロファイルを作成して管理レビューを行うということは、組織の目標や運営に影響を及ぼす可能性のある潜在的な脅威や危害源の要約または表現を作成または開発し、それを上級管理職に提示または報告して認識と承認を得ることを意味します。特定されたリスク要因の詳細を含むリスク レジスタを定期的にレビューして更新しても、必ずしも組織の脅威プロファイルを作成して管理レビューを行うわけではありません。また、組織に影響を及ぼす可能性のある潜在的な脅威や危害源の要約または表現を作成または開発するための包括的または信頼できる方法ではない可能性があります。参考資料
* ISACA、CRISCレビューマニュアル、第7版、2022年、19-20、23-24、27-28、31-32、40-41、47-48、54-
55、58-59、62-63
* ISACA、CRISC レビュー問題、解答、解説データベース、2022、QID 172
* CRISC 練習クイズと試験準備

セクション: 巻 C
Explanation:
制御とは、ビジネス目標が達成され、望ましくないイベントが検出、防止、修正されることを適切に保証するために設計されたポリシー、手順、実践、ガイドラインです。制御、つまり対策により、脅威や脆弱性が軽減または無効化されます。
制御には主に 3 つの目的があります。
* 防ぐ
* 回復する
* 検出する
誤った回答:
A、B、C: これらの選択肢に記載されている 1 つ以上の目的は、正しい制御目的ではありません。

コントロール所有者は、コントロールの設計、実装、監視、および維持を担当する人物です。コントロール所有者はコントロールに関する最も多くの知識と権限を持っているため、新しいコントロールがシステム内のデータ損失リスクを適切に軽減するかどうかを判断するのに最適です。コントロール所有者は、コントロールの有効性と効率性も評価し、問題やギャップがあればリスク所有者に報告する必要があります。
他のオプションは、新しいコントロールがシステム内のデータ損失リスクを適切に軽減するかどうかを判断するのに最適ではありません。データ所有者は、データとその分類に対する説明責任と権限を持つ人物です。データ所有者は、新しいコントロールを評価するための技術的な専門知識やアクセス権を持っていない可能性があります。リスク所有者は、特定のリスクを管理する説明責任と権限を持つ人物です。リスク所有者は、新しいコントロールに関する詳細な知識や関与を持っていない可能性があります。システム所有者は、システムとその運用に対する説明責任と権限を持つ人物です。システム所有者は、新しいコントロールに対する直接の責任や監視を持っていない可能性があります。参考資料 = CRISC TOPIC 3 EXAM SHORT Flashcards、CRISC-1-50 topic3 Flashcards、CRISC Certified in Risk and Information Systems Control - Question609

CRISC レビュー マニュアル (デジタル版) によると、リスク管理戦略は主に、許容可能な残留リスク レベル (リスク対応措置を実施した後に残るリスク レベル) を達成するために採用されます。残留リスク レベルは、組織のリスク選好度とリスク許容度に合わせる必要があります。リスク選好度とリスク許容度とは、組織が目的の達成に受け入れるリスクの量と種類、および目的にリンクされた特定のパフォーマンス測定基準に関連する結果の許容可能な変動です。リスク管理戦略は、回避、軽減、移転、共有、受け入れなど、リスクに対処するために使用されるアプローチまたは方法です。リスク管理戦略は、利用可能な代替手段の費用便益分析とリスクにさらされている資産の価値に基づく必要があります。
参考文献 = CRISC レビューマニュアル (デジタル版)、第 3 章: IT リスク対応、セクション 3.3: リスク対応オプション、pp. 166-1691