説明/参照:
Explanation:
物理的セキュリティは非技術的制御の一例であり、運用制御のグループに属します。
誤った回答:
A、C、D: 侵入検知システム、アクセス制御、暗号化は、コンピュータのハードウェア、ソフトウェア、またはファームウェアに組み込まれた安全対策であるため、技術的制御と呼ばれます。

CRISC レビュー マニュアル (デジタル版) によると、脅威分析は、IT 資産やプロセスに潜在する損害や損失の原因と原因を特定して評価することを伴うため、マイナスのイベントの発生可能性を見積もる際に最も役立ちます。脅威分析は、次のことに役立ちます。
* 自然災害、人為的ミス、悪意のある攻撃、システム障害など、さまざまな種類の脅威の発生頻度と確率を判断します。
* IT資産とプロセスの機密性、完全性、可用性に対する脅威の影響と重大性を評価する
* 発生可能性と影響度に基づいて脅威に優先順位を付ける
* 脅威を防止、軽減、移転、または受け入れるための適切なリスク対応戦略​​を策定する 参考文献 = CRISCレビューマニュアル（デジタル版）、第1章：ITリスクの特定、セクション1.5：ITリスクの特定方法とテクニック、35-361ページ

組織にとって効果的な 3 つの防衛ライン モデルの最も重要な基本要素は、明確に定義された役割と責任です。3 つの防衛ライン モデルは、リスク管理と内部統制に関連して、組織内のさまざまな機能またはグループの役割と責任を概説するフレームワークです1。3 つの防衛ラインは次のとおりです。
* 第一防衛線は、活動やプロセスに関連するリスクを所有し、管理する運用管理者とスタッフで構成されます。彼らは、リスクの特定、評価、軽減、および制御の設計、実装、運用に責任を負います。
* 第 2 防衛線は、リスクとコントロールの管理において第 1 防衛線に監視、指導、サポートを提供する専門機能またはユニットで構成されます。これらの部門は、リスク管理フレームワーク、ポリシー、標準の開発と維持、およびリスクとコントロールのパフォーマンスの監視と報告を担当します。
* 第三の防衛線は、独立した内部監査機能と、
* リスク管理および内部統制システムの有効性と効率性に関する客観的な保証。リスクと統制の設計と運用を評価およびテストし、上級管理職および取締役会に改善点を報告および推奨する責任を負います。
3 つの防衛ライン モデルが効果的かつ効率的に機能するためには、役割と責任を明確に定義することが不可欠です。これにより、リスク管理と内部統制活動における混乱、重複、ギャップを回避できるほか、さまざまな機能やグループ間の説明責任、調整、コミュニケーションを確保できます。また、各防衛ラインの独立性、権限、能力の適切なレベルを確立し、リスク管理と内部統制の目標と戦略を組織の目標と価値に合わせることもできます2。
その他のオプションは、明確に定義された役割と責任よりも関連性が低いか、または具体的ではないため、組織にとって効果的な 3 つの防御ライン モデルの最も重要な基本要素ではありません。堅牢なリスク集約ツール セットは、組織がさまざまなソース、レベル、または視点からリスク データと情報を収集、統合、分析できるようにする一連の方法またはテクニックです。堅牢なリスク集約ツール セットは、リスクの特定、評価、および報告プロセスを強化するだけでなく、リスクの意思決定と優先順位付けをサポートするのに役立ちます。
ただし、堅牢なリスク集約ツール セットは、リスク管理と内部統制に関連するさまざまな機能またはグループの役割と責任に対応していないため、組織にとって効果的な 3 つの防衛ライン モデルの最も重要な基礎要素ではありません。
確立されたリスク管理委員会とは、組織のリスク管理活動とパフォーマンスを監督および指揮する責任を負う上級管理職または管理者のグループです。確立されたリスク管理委員会は、リスク管理の目的と戦略を組織の目標と価値と整合および統合するのに役立つほか、リスク管理と内部統制に関与するさまざまな機能またはグループにガイダンスとサポートを提供することもできます。ただし、確立されたリスク管理委員会は、運用管理とスタッフ、専門機能またはユニット、または内部監査機能の役割と責任を網羅していないため、組織の効果的な 3 ライン防衛モデルの最も重要な基礎要素ではありません。十分に文書化され、伝達されたエスカレーション手順は、組織のリスク管理と内部統制活動またはパフォーマンスに影響を与える可能性のある問題またはインシデントを報告して解決するために実行される手順またはアクションです。
適切に文書化され、周知されたエスカレーション手順は、問題やインシデントに対するタイムリーで適切な対応と解決を確実にし、関連する利害関係者や当局に情報を提供して関与させるのに役立ちます。ただし、適切に文書化され、周知されたエスカレーション手順は、リスク管理と内部統制に関連するさまざまな機能やグループの役割と責任を定義していないため、組織にとって効果的な 3 つの防衛ライン モデルの最も重要な基礎要素ではありません。参考文献 = リスクおよび情報システム制御研究マニュアル、第 7 版、第 3 章、セクション 3.1.1、85 ページ。

IT リスク管理は、組織における情報技術 (IT) の使用に関連するリスクを特定、評価、および軽減するプロセスです。IT リスク管理の目的は、IT リソースと情報の機密性、整合性、可用性を確保し、組織の IT ガバナンスと戦略をサポートすることです1。
IT リスク管理プロセスの有効性を示す最良の指標は、IT リスク シナリオが特定されてから企業が対応するまでの時間です。この指標は、組織が IT リスクをどれだけ迅速かつ効率的に検出して対応できるか、また IT リスクの悪影響をどれだけ効果的に防止または最小限に抑えられるかを測定するのに役立ちます。IT リスク シナリオが特定されてから企業が対応するまでの時間には、次のものが含まれます。
* リスク評価、監査、監視、アラート、インシデントなどのさまざまな方法とソースを使用して、ITリスクシナリオを特定して報告するのにかかる時間
* リスクマトリックス、リスクレジスタ、リスク指標、リスクモデルなどのさまざまなツールや手法を使用して、ITリスクシナリオを分析および評価するのにかかる時間
* 回避、軽減、移転、受け入れなどのさまざまな戦略と制御を使用して、ITリスク対応を選択して実装するのにかかる時間
* 教訓、ベスト プラクティス、ベンチマークなどのさまざまなフィードバックと学習メカニズムを使用して、IT リスク管理プロセスをレビューして改善するのにかかる時間23 その他のオプションは、IT リスク管理プロセスの有効性を示す最良の指標ではなく、むしろ IT リスク管理プロセスの入力または出力の一部です。リスク トレーニングを完了したビジネス ユーザーの割合は、IT ユーザーとプロバイダーの認識と能力の指標であり、IT リスク管理のパフォーマンスに影響を与える可能性がありますが、IT リスク管理プロセスを直接測定するものではありません。
リスク アクション プランが策定されている高リスク シナリオの割合は、IT リスク管理活動の完全性と範囲を示す指標であり、IT リスク管理の結果に影響を与える可能性がありますが、IT リスク管理プロセスを直接測定するものではありません。定義された主要リスク指標 (KRI) の数は、IT リスク管理目標の範囲と複雑さを示す指標であり、IT リスク管理のリソースと機能に影響を与える可能性がありますが、IT リスク管理プロセスを直接測定するものではありません。参照
* IT リスク管理 - ISACA
* リスク管理プロセス - ISACA
* リスク対応 - ISACA
* [CRISC レビューマニュアル、第 7 版]