CRISC レビュー マニュアル 1 によると、アクセス制御とは、IT リソースおよびデータへの不正または不適切なアクセスを防止するために設計および実装されるポリシー、手順、プラクティス、およびテクノロジです。アクセス制御は、データ、特に個人を特定できる情報 (Pll) の機密性、整合性、および可用性を確保するために不可欠です。Pll とは、個人を特定、所在を特定、または連絡するために使用できる情報です。不十分なアクセス制御は、Pll を収集するモノのインターネット (IoT) ソリューションを実装する場合、データ プライバシーに関する最大の懸念事項です。不十分なアクセス制御により、データが漏洩、盗難、紛失、破損、操作、または誤用などのさまざまなリスクと脅威にさらされる可能性があるためです。不十分なアクセス制御により、個人のデータ プライバシーの権利と期待が侵害または損なわれると、組織に法的、規制的、倫理的、または評判上の問題が生じる可能性があります。参考文献 = CRISC レビュー マニュアル 1、240、253 ページ。

重要なパッチとは、システムまたはネットワークのパフォーマンス、機能、信頼性に影響を与える可能性のあるセキュリティの脆弱性またはバグを修正するソフトウェア アップデートです。重要なパッチの実装とは、ソフトウェア アップデートをシステムまたはネットワークにタイムリーかつ効果的に適用するプロセスです。重要なパッチの実装の失敗とは、ソフトウェア アップデートが適用されていないか正しく適用されていない状況であり、システムまたはネットワークがデータの盗難、データの破損、データの漏洩、サービス拒否などのさまざまな脅威にさらされる可能性があります。重要なパッチの実装の失敗は、残留リスクの増加によって組織のリスク プロファイルに反映されます。残留リスクとは、リスク対応後に残るリスクであり、既存の制御または対策によって回避、転送、または軽減されないリスクを意味します。重要なパッチの実装の失敗は、セキュリティの脆弱性またはバグに対処するはずの既存の制御または対策の有効性または効率を低下させるため、残留リスクを増加させます。重要なパッチの実装に失敗すると、潜在的な脅威の可能性や影響、およびシステムやネットワークの露出や結果も増大します。その他のオプションは、重要なパッチの実装に失敗した後に組織のリスク プロファイルに反映される正しい変更ではありませんが、影響を受けるか関連している可能性があります。リスク許容度とは、組織が受け入れたくないリスク選好度からの変動の度合いです。重要なパッチの実装に失敗すると、組織がリスクを受け入れる際により慎重になるか保守的になるため、リスク許容度が低下する可能性がありますが、リスク プロファイルが直接的または即座に変化するわけではありません。固有のリスクとは、制御や対策がない場合に存在するリスクであり、システム、ネットワーク、または環境に固有のリスクを意味します。重要なパッチの実装に失敗すると、システムまたはネットワークが脅威に対してより脆弱になるか影響を受けやすくなるため、固有のリスクが増大する可能性がありますが、リスク プロファイルは既存の制御や対策を考慮するため、リスク プロファイルが変化するわけではありません。リスク許容度とは、組織が目的達成のために受け入れるリスクの量と種類です。重要なパッチの実装に失敗すると、組織がリスクを受け入れる意欲や能力が低下するため、リスク許容度は低下する可能性がありますが、リスク プロファイルは、望ましいまたは予想されるリスク レベルではなく、実際のまたは現在のリスク レベルを反映しているため、リスク プロファイルが変化するわけではありません。参考資料 = CRISC レビュー マニュアル、32 ～ 331 ページ、CRISC レビューの質問と回答
& 説明マニュアル、972 ページ; 重要なパッチとは何ですか? - Techopedia3 からの定義; 残存リスクとは何ですか? - Techopedia4 からの定義