セクション: 巻 B
Explanation:
特定の種類のトランザクションによって処理される情報を保護するための新しい規制が IT マネージャーによって特定された場合、すぐに実行すべきステップは、この新しい規制の影響と要件を理解することです。これには、企業が規制に準拠する方法と、既存の制御構造がコンプライアンス プロセスをどの程度サポートするかを評価することが含まれます。その後、マネージャーは既存のギャップを評価する必要があります。
誤った回答:
B、C、D: これらの選択は適切かつ重要ですが、理解とギャップ評価の後の次のステップです。

説明/参照:
Explanation:
トランザクション データに重点​​を置いた監視ツールは、通常、人事 (HR) システムの従業員データと経費システムまたは給与システムの支出情報など、あるシステムから別のシステムへの情報を関連付けます。
誤った回答:
B: システム内でプロセスの整合性が確認されているため、監視は必要ありません。
C: 構成設定は通常、複数のソース間の相関関係に基づいてではなく、事前定義された値と比較されます。
D: システムの変更は以前の状態から現在の状態と比較されますが、複数のソースからの情報は相関しません。

* リスク評価で推奨されるリスク軽減措置を正当化する最善の方法は、組織の目的、パフォーマンス、価値創造に影響を与える要因であるビジネスドライバーに焦点を当てることです12。
* ビジネスドライバーに焦点を当てるということは、リスク軽減アクションを組織の戦略目標、優先事項、価値観と整合させ、そのアクションが組織の能力、機会、競争上の優位性をどのようにサポートまたは強化するかを示すことを意味します12。
* ビジネスドライバーに焦点を当てるということは、リスク軽減措置の利点、コスト、トレードオフを関係する利害関係者に伝え、その措置が組織のリスク選好度、許容度、およびリスク暴露にどのように対処するかを示すことも意味します12。
* その他のオプションは、リスク軽減措置を正当化する最善の方法ではありませんが、正当化をサポートする可能性のある情報源またはガイダンスです。例:
* 監査結果との整合は、リスク軽減措置の有効性と効率性を検証し、改善が必要なギャップや弱点を特定する方法です34。ただし、監査結果は組織の現在または将来のビジネスドライバーを反映​​していない可能性があり、リスク軽減措置の全範囲または影響を捉えていない可能性があります34。
* 競合他社の行動とのベンチマークは、組織のリスク軽減行動を業界または市場のベストプラクティスまたは標準と比較し、改善または差別化の領域を特定する方法です56。ただし、競合他社の行動は、組織の特定の状況、ニーズ、または課題に適していないか適用できない場合があり、組織のビジネスドライバーと一致しない可能性があります56。
* ベストプラクティスを参照することは、リスク軽減のための実証済みまたは承認済みの方法や技術を採用し、リスク軽減アクションの品質と一貫性を確保する方法です78。ただし、ベストプラクティスは、組織の固有の状況に最適な、または革新的なソリューションではない可能性があり、組織のビジネスドライバーに対処していない可能性があります78。参照
*1: リスク IT フレームワーク、ISACA、2009 年
* 2: ITリスク管理フレームワーク、トロント大学、2017年
* 3: IT監査および保証基準、ISACA、2014年
* 4: IT監査および保証ガイドライン、ISACA、2014年
* 5: IT リスク管理プラクティスのベンチマーク、ISACA ジャーナル、第 4 巻、2017 年
* 6: ベンチマーキング: IT リスク管理を改善するためのツール、ISACA Now ブログ、2017 年 3 月 27 日
* 7: IT リスク管理のベストプラクティス、ISACA ジャーナル、第 1 巻、2018 年
* 8: IT リスク管理のベスト プラクティス、ISACA Now ブログ、2018 年 1 月 9 日