* リスク許容度:
* リスク許容度は、組織が目的達成のために受け入れるリスクのレベルを定義します。リスク対応を評価し、優先順位を付ける際のベンチマークとして機能します。
* リスク対応の優先順位付け:
* リスクへの対処方法を決定する際には、残存リスクが組織のリスク許容度の範囲内に収まるかどうかを第一に考慮する必要があります。
* リスクが許容範囲を超える場合、リスクを軽減、移転、または回避する必要があります。リスクが許容範囲以内であれば、リスクを受け入れることができます。
* その他の要因の影響:
* 残留リスク: 重要ですが、リスク許容度に照らして評価し、許容可能かどうかを判断する必要があります。
* 軽減コスト: 意思決定に関連しますが、リスク許容度との整合に次ぐものです。
* 固有リスク: 制御を適用する前の初期リスク評価ですが、優先順位は残存リスクとリスク許容度に基づいて決定されます。
* 参考文献:
* CRISC レビュー マニュアルでは、リスク対応の優先順位付けを導く上でのリスク選好度の役割について強調しています (CRISC レビュー マニュアル、第 3 章「リスク対応と軽減」、セクション 3.2.1「リスク対応の優先順位付け」)。

国境を越えたデータ転送に関する規制上の制限はコンプライアンスに大きな影響を与える可能性があるため、コンプライアンスは最も重要な考慮事項となります。このような制限に対処することで、リスク管理における法的および規制上の要件の遵守が保証されます。

独立したセキュリティ監査レポートは、一連の標準、基準、またはフレームワーク1 に基づいて、クラウド サービス プロバイダー (CSP) のセキュリティ体制と実践に関する客観的かつ包括的な評価を提供するドキュメントです。独立したセキュリティ監査レポートは、組織が CSP を使用するリスクと利点を評価し、CSP が組織のセキュリティとコンプライアンスの要件を満たしていることを確認するのに役立ちます2。
組織が CSP の独立したセキュリティ監査レポートを受け取った場合、そのレポートに応じて次に行うべきステップは、プロバイダーのコントロールの弱点がビジネスに与える影響を分析することです。つまり、組織は次のことを行う必要があります。
* CSPのサービスに依存する、または影響を受けるビジネスプロセス、機能、または目標を特定し、優先順位を付ける
* セキュリティインシデント、侵害、損失につながる制御の弱点の潜在的な結果と可能性を評価する
* セキュリティインシデント、侵害、損失による財務、運用、評判、法的影響を見積もる
* 組織のリスク選好度と許容度と影響を比較し、リスクの露出と受容のレベルを決定します。
* 分析結果を関係者や意思決定者に伝える3 参考資料 = セキュリティ監査とは何か？、クラウドセキュリティ監査：10ステップのチェックリスト、独立したセキュリティ監査はクラウドサービスプロバイダーにとって不可欠です。その理由は次のとおりです。