災害復旧プロセスの有効性を監視するための最も重要な主要業績評価指標 (KPI) は、災害復旧テスト中に IT システムが復旧時間目標 (RTO) を達成している割合です。RTO とは、中断後にシステムまたはプロセスが使用不可になる許容可能な最長時間です。災害復旧テストは、災害シナリオのシミュレーションであり、組織の重要な機能とシステムを復旧するための準備状況と能力を評価します。テスト中に RTO を達成している IT システムの割合を測定することで、組織は災害復旧プロセスが事前に定義された目標と基準をどの程度達成しているかを評価できます。平均復旧時間 (MTTR) 内に復旧した IT システムの割合、災害復旧テストで発生した問題が時間どおりに解決された割合、災害復旧テストの範囲に含まれる IT システムの割合も KPI として考えられますが、RTO を達成している IT システムの割合ほど重要ではありません。参考資料 = ISACA 認定リスクおよび情報システム制御 (CRISC) 認定試験の質問と回答、質問 12、CRISC レビュー マニュアル、第 6 版、215 ページ。

脅威とは、損失を引き起こす可能性のあるあらゆるイベントです。言い換えれば、潜在的な危険を表すあらゆるアクティビティです。損失または危険は、次のいずれかに直接関連しています。機密性の損失 - 誰かがパスワードまたは会社の秘密の計算式を見た場合、これは機密性の損失と呼ばれます。整合性の損失 - 電子メール メッセージが送信中に変更されたり、ファイルがウイルスに感染したり、誰かが Web サイトに許可されていない変更を加えたりすることは、整合性の損失と呼ばれます。可用性の損失 - 電子メール サーバーがダウンして誰も電子メールにアクセスできない場合、またはファイル サーバーがダウンしてデータ ファイルを利用できない場合は、可用性の損失に該当します。脅威の識別は、脅威のリストを作成するプロセスです。このリストは、組織に対するすべての可能性のある脅威を特定しようとします。リストは広範囲になる場合があります。脅威は、多くの場合、以下のようにサブカテゴリ化されます。外部または内部 - 外部の脅威は組織の境界外にあります。組織の制御外にあるリスクと考えることもできます。一方、内部の脅威は組織の境界内にあります。これらは、会社のリソースにアクセスできる従業員やその他の人員に関連している可能性があります。内部の脅威は、企業が管理するハードウェアまたはソフトウェアに関連している可能性があります。自然または人為的 - 自然による脅威は、ハリケーン、竜巻、氷雨などの天候に関連することがよくあります。地震や津波などの自然災害も自然の脅威です。人為的または人為的な脅威とは、人によって引き起こされる脅威です。リソースに危害を加えようとする試みはすべて人為的な脅威です。火災は、どのように発生したかによって人為的なものか自然的なものかが変わります。意図的か偶発的か - 機密性、整合性、または可用性を侵害しようとする試みは意図的です。従業員のミスやユーザー エラーは偶発的な脅威です。データを破損する欠陥のあるアプリケーションも偶発的と見なされます。

セクション: ボリューム D

情報システムの相互依存性とは、1 つのシステムの障害や中断が他のシステムのパフォーマンスや可用性に影響を及ぼす可能性があることを意味します。したがって、相互依存する情報システムに対する複数のリスク評価の結果を集約して、組織への全体的な影響を把握することが重要です。
結果を集約することで、リスク マネージャーは相互依存リスクの潜在的な連鎖的影響、累積的な結果、および最悪のシナリオを特定できます。これにより、組織はリスクの優先順位付け、リソースの割り当て、およびそれに応じたリスク対応戦略​​の実施が可能になります。その他のオプションは、情報システムの相互依存性を完全には把握していないため、組織全体への影響ほど重要ではありません。参考文献 = リスクおよび情報システム制御研究マニュアル、第 3 章、セクション 3.4.3、99 ページ。