システム可用性のパーセンテージは、アウトソーシングされたデータ センターのサービス レベル契約 (SLA) で確立する最も重要な主要業績評価指標 (KPI) です。この KPI は、データ センター プロバイダーがホストするシステムの稼働時間または信頼性を測定し、システムのパフォーマンスとアクセス性に関する顧客の期待と要件を満たすプロバイダーの能力を反映します。システム可用性のパーセンテージが高い場合、プロバイダーは一貫性のある高品質のサービスを提供していることを示し、システム可用性のパーセンテージが低い場合、プロバイダーは頻繁または長期にわたるシステム障害または中断を経験していることを示し、顧客のビジネス運営と評判に悪影響を与える可能性があります。したがって、システム可用性のパーセンテージは、データ センター プロバイダーの有効性と効率性を評価する上で重要な要素であり、SLA で明確に定義および監視する必要があります。その他のオプションは、提供されるサービスの品質または信頼性を直接測定するものではないため、アウトソーシングされたデータ センターの SLA で確立する最も重要な KPI ではありません。リカバリ プロセスに含まれるシステムの割合は、データ センター プロバイダーの災害復旧計画 (DRP) の範囲または適用範囲の尺度となりますが、プロバイダーが災害発生時に DRP をどの程度実行できるか、またはシステムをどの程度復旧できるかを示すものではありません。ホストされている主要システムの数は、データ センター プロバイダーの容量または使用率の尺度となりますが、プロバイダーがシステムをどの程度効率的または安全に管理できるかを示すものではありません。システム インシデントを解決するための平均応答時間は、データ センター プロバイダーの応答性または敏捷性の尺度となりますが、プロバイダーがシステム インシデントをどの程度効果的または積極的に防止または軽減できるかを示すものではありません。参考文献 = リスクおよび情報システム制御研究マニュアル、第 7 版、第 3 章、セクション 3.2.3.4、140 ページ。

セキュリティ ポリシー例外は、特定の目的または期間に個人またはグループに許可される、確立されたセキュリティ ポリシーからの逸脱です。セキュリティ ポリシーの制限が厳しすぎる、古い、またはビジネス要件や目標と互換性がない場合、セキュリティ ポリシー例外が必要になることがあります。
ただし、セキュリティ ポリシーの例外は、セキュリティ体制を弱めたり、組織を脅威や脆弱性にさらしたり、コンプライアンスや規制上の義務に違反したりする可能性があるため、組織にリスクをもたらします。したがって、承認されたセキュリティ ポリシーの例外の数の増加傾向は、セキュリティ ポリシーが効果的ではないか、組織のニーズや目標と一致していないこと、および組織が望んでいる以上のリスクを受け入れていることを示しているため、最も懸念される必要があります。その他のオプションは、承認されたセキュリティ ポリシーの例外の数ほど懸念されるものではありません。なぜなら、それらは組織への直接的または即時のリスクを意味するものではなく、以下に説明するように、セキュリティ管理プロセスの通常または予想されるアクティビティを反映しているからです。
* A. ビジネス変更管理要求の数は、ビジネス プロセス、システム、または機能を変更する要求の量と頻度を測定する指標です。この指標が上昇傾向にある場合、組織が変革、革新、または改善を行っていることを示している可能性があり、組織のパフォーマンスとセキュリティにプラスまたはマイナスの影響を与える可能性があります。ただし、変更管理要求は、確立された変更管理手順と制御に従って適切に評価、承認、実装される可能性があるため、この指標は必ずしも組織に対するリスクを意味するものではありません。
* B. セキュリティ ポリシーの改訂回数は、セキュリティ ポリシーに時間の経過とともに加えられた変更の量と範囲を測定する指標です。この指標が上昇傾向にある場合、セキュリティ ポリシーが更新、改良、または強化されていることを示している可能性があり、これにより組織のセキュリティ体制とコンプライアンスが改善または維持される可能性があります。ただし、セキュリティ ポリシーの改訂はセキュリティ管理のベスト プラクティス、標準、期待に基づいている場合があり、組織全体に効果的に伝達および適用される可能性があるため、この指標は必ずしも組織に対するリスクを意味するものではありません。
* D. ファイアウォール ルールの変更数は、ファイアウォール構成に加えられた変更の数と種類を測定する指標です。ファイアウォール構成は、定義済みのルールに基づいて受信および送信ネットワーク トラフィックを制御します。この指標が上昇傾向にある場合、ファイアウォールが調整、最適化、またはカスタマイズされていることを示している可能性があり、これによりファイアウォールのパフォーマンスとセキュリティが向上または低下する可能性があります。ただし、この指標は必ずしも組織に対するリスクを意味するものではありません。ファイアウォール ルールの変更は、確立されたファイアウォール管理手順と制御に従って正当化、承認、および検証されている場合があるためです。参考文献 = リスクおよび情報システム制御研究マニュアル、第 4 章、セクション 4.2.1、115 ページ。セキュリティ ポリシー例外: その内容と管理方法、セキュリティ ポリシー例外: 安全な方法で処理する方法、セキュリティ ポリシー例外: 必要悪?

説明/参照:
Explanation:
取締役会と上級管理職は、リスク管理プロセスを設定し、共通のリスク見解を確立して維持し、リスクを認識したビジネス上の意思決定を行い、企業のリスク文化を確立する責任を負います。
誤った回答:
B: CFO は、財務計画、記録保存、投資家関係、財務リスクに責任を負う、企業の最高幹部です。CFO は、リスク管理プロセスの設定、共通のリスク見解の確立と維持、リスクを認識したビジネス上の意思決定、企業のリスク文化の設定については責任を負っていません。
C: 人事部門は、企業内のすべての人材に関する計画とポリシーに責任を負う、企業で最も上級の役員です。人事部門はリスク関連の活動には責任を負いません。

リスク担当者が、リスク処理の所有者が IT リスク アクション プランで指定されたものとは異なるコントロールを実装したことを知ったときに最初に行うべきことは、新しいコントロールに関連付けられたリスク レベルを再評価することです。これは、新しいコントロールがリスクの発生可能性と影響に異なる影響を与え、新しいリスクをもたらしたり、既存のリスクを変更したりする可能性があるためです。リスク担当者は、新しいコントロールの妥当性と有効性を評価し、残存リスクを組織のリスク選好度およびリスク許容度と比較する必要があります。また、リスク担当者は、リスク再評価の結果を関連する利害関係者に伝え、それに応じてリスク レジスターとアクション プランを更新する必要があります。その他のオプションは、後の段階で必要または適切になる場合がありますが、リスク担当者が最初に行うべきことではありません。コントロール所有者の承認を求めることは重要ですが、リスク レベルの潜在的な変更やリスク管理目標との整合性には対処していません。リスク レジスターのアクション プランを更新することは良い方法ですが、リスク再評価の後で、リスク所有者の同意を得て行う必要があります。制御に確立されたテスト方法があることを検証することは、制御保証プロセスの一部ですが、リスク レベルやリスク対応の有効性に関する情報は提供されません。参考文献 = リスクおよび情報システム制御研究マニュアル、第 4 章: リスク対応、151 ページ。