IT リスク レジスターは、特定された IT リスク、その発生可能性、影響、および軽減戦略を記録して追跡するドキュメントです。これは、組織の現在のリスク プロファイルを反映するために定期的に更新する必要がある、生きたドキュメントです。IT リスク レジスターの更新が必要となる状況の 1 つは、重要な IT コントロールの設計が効果的でないことが発見された場合です。これは、関連する IT リスクの発生可能性または影響が増大する可能性があるためです。
主要リスク指標 (KRI) のマネジメント レビュー、登録簿の維持を担当するチームの変更、および最新の内部監査の完了は、特定された IT リスクまたはその軽減戦略に影響を与えないため、IT リスク登録簿を更新する理由にはなりません。参考資料 = [CRISC レビュー マニュアル (デジタル版)]、97 ページ、CRISC: Certified in Risk & Information Systems Control サンプル問題、質問 198。

組織のリスク管理フレームワークに従ってサイバーリスクを管理することは、サイバーリスクが評価され、企業レベルのリスクプロファイルに反映されるようにするための最善の推奨事項です。これは、サイバーセキュリティリスク管理 (CSRM) プロセスとエンタープライズリスク管理 (ERM) プロセスを統合して調整するのに役立つためです。リスク管理フレームワークは、組織内のリスク管理活動をガイドおよびサポートする一連の原則、ポリシー、およびプラクティスです。リスク管理フレームワークは、組織全体および外部の利害関係者に対するリスク管理に対する一貫性があり、包括的で、調整されたアプローチを確立するのに役立ちます。
組織のリスク管理フレームワークに従ってサイバー リスクを管理すると、次の利点が得られ、サイバー リスクが評価され、企業レベルのリスク プロファイルに反映されるようになります。
* サイバーリスクの状況と、ビジネスプロセスおよび機能との相互依存性を総合的かつ包括的に把握できるようになります。
* ビジネスおよび IT 関係者間のコミュニケーションとコラボレーションを促進し、サイバーリスクの露出と制御環境に関する理解と認識を高めます。
* ビジネスのリスク許容度と目標に沿った、効果的かつ効率的なサイバーリスク対応および軽減戦略とアクションの開発と実装をサポートします。
* サイバーリスクの管理と制御プロセスに関するフィードバックと学習の機会を提供し、継続的な改善と革新の文化を育むのに役立ちます。
その他のオプションは、サイバーリスクが確実に評価され、企業レベルのリスクプロファイルに反映されるようにするための最良の推奨事項ではありません。組織全体でサイバーの役割と責任を定義することは、サイバーリスクの管理と制御プロセスの義務と説明責任を明確にして割り当てるための良い方法ですが、サイバーリスクの評価と企業レベルのリスクプロファイルとの統合には直接対応していません。
上級管理職向けに特別にカスタマイズされたサイバーリスク認識トレーニングを実施することは、上級管理職をサイバーリスク管理および制御プロセスに教育し、関与させるのに有効な方法ですが、サイバーリスクを企業レベルのリスクプロファイルに評価および反映するための体系的または一貫した方法は提供されません。業界のベストプラクティスに基づくサイバーリスクプログラムの実装は、サイバーリスク管理および制御プロセスを改善および強化するための可能なアクションですが、組織のリスク管理フレームワークまたは企業レベルのリスクプロファイルとの整合性や統合を保証するものではありません。参考文献
= サイバーセキュリティとエンタープライズ リスク管理 (ERM) の統合 - NIST、IT リスク リソース | ISACA、エンタープライズ リスク管理におけるサイバーセキュリティ リスクの特定と推定...

セクション: ボリューム D

リスク選好度は、組織が目的達成のために受け入れるリスクの量と種類を反映するため、リスク レジスターのより高い残留リスク評価を受け入れるべきかどうかを判断するための最適な基準です。残留リスクとは、制御やその他のリスク処理を適用した後に残るリスクのレベルです。残留リスク評価をリスク選好度と比較することで、組織はリスクを受け入れるか、削減するか、移転するか、回避するかを決定できます。残留リスクがリスク選好度の範囲内またはそれ以下の場合、組織はリスクを許容可能なものとして受け入れることができます。残留リスクがリスク選好度を超える場合、組織はリスクを許容可能なものとして受け入れず、さらなるリスク処理またはエスカレーションを求める可能性があります。
参考文献:
*ISACA、リスク IT フレームワーク、第 2 版、2019 年、p. 751
*ISACA、リスクおよび情報システム管理レビューマニュアル、第7版、2020年、p. 2112