主要リスク指標は、リスクの露出の増加について早期に警告を発し、タイムリーなリスク軽減活動を可能にするように設計されています。これは、CRISC のリスク監視および報告ドメインで概説されているように、積極的なリスク管理をサポートします。

説明/参照:
Explanation:
予防的な制御と防止は検出と回復よりも優先されるため、リスクを管理するには秘密鍵ベースの暗号化を採用する必要があります。
誤った回答:
A、C、D: 上のセクションで説明したように、予防的制御と防止は検出と回復よりも優先されるため、これらはあまり好ましい方法ではありません。

効果的なリスク管理プログラムの最も重要な特徴は、リスクの所有権が割り当てられていることです。リスクの所有権とは、リスクを管理する責任と権限のことです1。リスクの所有権を割り当てるということは、特定のリスクの評価、処理、監視、報告の責任を負う個人または組織を特定して割り当てることを意味します2。リスクの所有権を割り当てることは、リスク管理プログラムが効果的かつ効率的に機能するために不可欠です。これは、次のことに役立ちます。
* リスク管理および内部統制に関与するさまざまな機能またはグループの役割と責任を明確にする。
* 組織の目的、戦略、リスク許容度に従ってリスクが管理されていることを確認します。
* リスクの特定、評価、軽減に関してリスク所有者に指導とサポートを提供します。
* リスク所有者とリスク対応措置のパフォーマンスと有効性を監視および評価します。
* リスクの状況と問題について、関連する利害関係者や当局に伝え、報告します。その他のオプションは、リスクの所有権の割り当てよりも関連性が低いか、具体的ではないため、効果的なリスク管理プログラムの最も重要な特性ではありません。リスク対応計画が文書化されています。このオプションは、効果的なリスク管理プログラムの結果または成果であり、その特性ではありません。リスク対応計画とは、リスクの軽減、回避、移転、受け入れなど、リスクを修正するために実行されるアクションまたは対策です3。リスク対応計画の文書化とは、目標、範囲、リソース、タイムライン、パフォーマンス指標、結果など、リスク対応アクションの詳細と結果を記録して維持することを意味します4。リスク対応計画の文書化は、リスク管理プロセスの一貫性と透明性を向上させるだけでなく、リスク対応アクションの監視と評価をサポートするのに役立ちます。ただし、リスク対応計画の文書化は、リスクを管理するための説明責任と権限に対応していないため、効果的なリスク管理プログラムの最も重要な特性ではありません。コントロールは主要なリスクシナリオにマッピングされます。このオプションは、効果的なリスク管理プログラムの具体的または限定的な例であり、その一般的または広範な特性ではありません。コントロールとは、リスクの可能性や影響を軽減するため、または機会の可能性や影響を高めるために講じられる対策または行動です5。コントロールを主要なリスク シナリオにマッピングすることは、コントロールを組織の目標、運用、またはパフォーマンスに影響を与える可能性のある特定の状況またはイベントにリンクすることを意味します6。コントロールを主要なリスク シナリオにマッピングすると、コントロールの設計と実装を強化し、リスクを軽減する際のコントロールの有効性と効率を評価するのに役立ちます。ただし、コントロールを主要なリスク シナリオにマッピングすることは、リスクの特定、評価、処理、監視などのリスク管理の他の側面をカバーしていないため、効果的なリスク管理プログラムの最も重要な特性ではありません。主要なリスク指標が定義されています。このオプションは、効果的なリスク管理プログラムのコンポーネントまたは要素であり、その特性ではありません。主要なリスク指標は、組織の目標、運用、またはパフォーマンスに影響を与える可能性のあるリスクのレベルと傾向を測定する指標です7。主要リスク指標を定義するということは、リスクを測定し報告するための基準と方法を確立し、維持することを意味します8。
主要リスク指標を定義すると、リスクの特定、評価、報告のプロセスを強化し、リスクに関する意思決定と優先順位付けをサポートするのに役立ちます。ただし、主要リスク指標の定義は、リスク管理の説明責任と権限を示すものではないため、効果的なリスク管理プログラムの最も重要な特性ではありません。参考文献 = リスクおよび情報システム管理研究マニュアル、第 7 版、第 3 章、セクション 3.1.1、85 ページ。

情報セキュリティ インシデント対応プロセスの先行指標を確立する場合、サービス レベル アグリーメント (SLA) 内で解決された報告されたインシデントの割合を考慮することが最も重要です。先行指標とは、プロセスまたはアクティビティの将来のパフォーマンスや結果を予測したり、影響を与えたりできるメトリックです。情報セキュリティ インシデント対応プロセスの先行指標は、インシデントの影響を最小限に抑える、通常業務をできるだけ早く回復する、インシデントの再発を防ぐなど、プロセスがどの程度その目的を達成しているかを測定する必要があります。SLA 内で解決された報告されたインシデントの割合は、情報セキュリティ インシデント対応プロセスの効率と有効性を反映する先行指標です。これは、ビジネス ユニット、顧客、規制当局などの利害関係者の期待と要件をプロセスがどの程度満たしているかを示します。また、インシデント対応に割り当てられている時間、予算、人員などのリソースをプロセスがどの程度適切に管理しているかを示します。SLA 内で解決された報告されたインシデントの割合が高いということは、情報セキュリティ インシデント対応プロセスが適切に機能し、組織に価値をもたらしていることを示しています。 SLA 内で解決される報告されたインシデントの割合が低い場合、情報セキュリティ インシデント対応プロセスが課題に直面しており、改善が必要であることを示しています。SLA 内で解決される報告されたインシデントの割合は、インシデントの根本原因、プロセスのギャップ、改善領域を特定するのにも役立ちます。たとえば、SLA 内で解決される報告されたインシデントの割合が低い場合、プロセスに次の側面の問題があることを示している可能性があります。 - インシデントの検出と報告: プロセスには、インシデントをタイムリーかつ正確に検出して報告するための適切なツール、手法、または手順がない可能性があります。 - インシデントの優先順位付けと分類: プロセスには、重大度、影響、緊急性に基づいてインシデントの優先順位付けと分類を行うための明確で一貫した基準がない可能性があります。 - インシデントの分析と調査: プロセスには、インシデントを分析および調査し、その根本原因、範囲、および結果を判断するための十分なスキル、知識、または証拠がない可能性があります。 - インシデントの封じ込めと根絶: プロセスには、インシデントを封じ込めて根絶し、インシデントの拡大やエスカレーションを防ぐための効果的な方法や対策がない可能性があります。 - インシデントの回復と復旧: プロセスには、影響を受けたシステムやサービスの通常の運用と機能を回復するための信頼性の高いバックアップおよび復旧計画やシステムがない可能性があります。 - インシデントのコミュニケーションとエスカレーション: プロセスには、経営陣、ユーザー、ベンダーなどの関連する利害関係者に通知して関与させるための適切なコミュニケーションおよびエスカレーション チャネルやプロトコルがない可能性があります。または当局。 - インシデントの文書化と終了: プロセスには、インシデントとその解決を記録して報告するための適切な文書化と終了手順がない可能性があります。 - インシデントのレビューと改善: プロセスには、プロセスとそのパフォーマンスを評価して強化するための定期的なレビューと改善活動がない可能性があります。 したがって、SLA 内で解決された報告されたインシデントの割合は、プロセスとその改善に貴重な洞察とフィードバックを提供できるため、情報セキュリティ インシデント対応プロセスの最も重要な先行指標です。 参照 = 情報セキュリティ インシデント対応 | Process Street1、セキュリティ運用とインシデント対応の主要業績評価指標 (KPI)2、7 つのインシデント対応メトリックとその使用方法3