説明/参照:
Explanation:
二次リスクとは、リスク対応の結果として発生するリスクです。
誤った回答:
A: 純粋リスクとは、プロジェクトにマイナスの影響のみを与えるリスクです。純粋リスクとは、建設、電気工事、製造など、完了や管理に危険を伴う活動のことです。
C、D: これらの用語は、リスク対応の結果として発生するリスクには適用されません。

説明/参照:
Explanation:
利害関係者の期待を管理するプロセスでは、プロジェクトの変更要求が作成され、プロジェクトに新たなリスク イベントが発生する可能性があります。
変更要求とは、プロジェクトの範囲を拡大または縮小したり、ポリシー、プロセス、計画、手順を変更したり、コストや予算を変更したり、スケジュールを改訂したりする要求です。これらの変更要求は、直接的または間接的、外部または内部で開始され、法律または契約で課せられたり、任意であったりします。プロジェクト マネージャーは、正式に文書化された要求された変更のみが処理され、承認された変更要求のみが実装されるようにする必要があります。
誤った回答:
A: プロジェクト管理計画の更新によって新たなリスクは発生しません。
B: 組織プロセス資産の更新によって新たなリスクは発生しません。
D: プロジェクト ドキュメントの更新によって新たなリスクは発生しません。

セクション: ボリューム D

*新たな脅威の外部ソースとは、組織の IT システムやデータに影響を及ぼす可能性のある最新のサイバー攻撃、ハッキング手法、マルウェア、脆弱性に関する情報を提供するソースです。
外部ソースの例としては、ISACA、Imperva、Aura、BitSight123 などの評判の高い組織からのセキュリティ ブログ、フォーラム、ニュースレター、レポート、アラートなどがあります。
*組織が外部ソースから取得できる最も有用な情報は、脅威の存在を検出するための指標です。指標とは、サイバー攻撃の特定、防止、または軽減に役立つ、観察可能な兆候またはパターンです。指標の例としては、IP アドレス、ドメイン名、ファイル ハッシュ、ネットワーク トラフィック、システム ログ、ユーザーの行動などがあります4。
*脅威の存在を検出するための指標は、組織が次のことを行うのに役立つため、他のオプションよりも有用です。
oIT環境を監視および分析し、疑わしいまたは悪意のあるアクティビティがないか確認する o潜在的または実際のインシデントに迅速かつ効果的に対応する oサイバー攻撃の影響と被害を軽減する oセキュリティ体制と回復力を向上させる
*新たな脅威を根絶するためのソリューションは、特定の状況、ニーズ、リソースに応じてすべての組織に適用可能または効果的ではない可能性があるため、最も有用な情報ではありません。
さらに、新しい脅威や高度な脅威に対しては、解決策が利用できなかったり、知られていなかったりする場合もあります。
*脅威から生じるリスクを軽減するためのコストは、組織がサイバー攻撃を特定したり防止したりするのに役立たないため、最も有用な情報ではありません。コストは、IT リスクの管理方法を決定する際に考慮すべき要素の 1 つにすぎず、脅威の真の価値や影響を反映していない可能性があります。
*攻撃者のソースと身元は、すべての組織にとって関連性や正確性がない可能性があるため、最も有用な情報ではありません。攻撃者のソースと身元は追跡や検証が難しいことが多く、組織のリスク レベルや対応戦略に影響を与えない可能性があります。
参考文献
*リスクおよび情報システム管理研究マニュアル、第 7 版、ISACA、2020 年、第 2 章: IT リスク評価、セクション 2.3: リスクの特定、83-84 ページ
*リスクおよび情報システム管理レビューの質問、回答、説明データベース、12 か月サブスクリプション、ISACA、2020 年、質問 ID: 100000

説明/参照:
Explanation:
リスク移転とは、リスクの一部を外部組織または別の内部組織に移転または共有することで、リスクの影響を軽減することを意味します。リスク移転はさまざまな形で行われますが、金融リスクに対処する場合に最も効果的です。保険はリスク移転の 1 つの形です。したがって、ハリーがリスクを管理するために専門のベンダーを雇用した場合、リスク イベントはなくなるわけではありませんが、イベントの責任はベンダーに移されます。
誤った回答:
B: リスク受容とは、特定のリスクに対して何の措置も講じず、損失が発生した場合にはそれを受け入れることを意味します。
ここでハリーは、このリスクイベントを受け入れず、チームの誰かが怪我をすることを望まないため、イベントを専門のベンダーに委託しています。
C: 軽減とは、ハリーのプロジェクト チームがリスク イベントの発生確率や影響を軽減するために実行できるアクションです。
D: 回避では、リスク イベントを回避するための追加手順を追加するか、プロジェクトの範囲を縮小することによって、リスク イベントを完全に排除します。