損失イベントとは、データ侵害、サイバー攻撃、自然災害など、組織に悪影響や損害をもたらす出来事のことです。損失イベントの影響とは、金銭的損失、評判の失墜、業務の中断、法的責任など、イベントによって引き起こされる損害や損失の範囲または規模です。個人を特定できる情報 (PII) の侵害に対する罰金を大幅に引き上げる、新たに制定された情報プライバシー法は、PII に関連するデータ侵害の潜在的なコストと重大性を高めるため、新しい法律の影響を受ける組織にとって損失イベントの影響を増大させる可能性が最も高くなります。その他のオプションは、損失イベントの影響の増大ほど可能性は高くありません。なぜなら、それらは新しい法律から直接生じるものではなく、以下で説明するように、組織のリスク管理能力などの他の要因に依存するからです。
* A. コンプライアンス違反の増加は、組織が新しい法律を遵守しないと想定されるため、起こりそうにありません。そうなると、組織はより多くのリスクと罰則にさらされることになります。合理的な組織であれば、PII を保護し、データ侵害を防止するための適切な管理と対策を実施することで、新しい法律を遵守しようとします。
* C. 残留リスクの増加は起こりそうにありません。なぜなら、組織が新しい法律を考慮してリスク対応戦略​​を調整しないと想定しているため、組織は望ましくないほど多くのリスクにさらされることになるからです。賢明な組織であれば、リスク軽減管理を強化するか、保険会社などの第三者にリスクを移転することで、残留リスクの削減に努めるでしょう。
* D. 顧客からの苦情の増加は、組織がPIIに関連するデータ侵害をより多く経験し、顧客満足度と忠誠心に影響を与えると想定されるため、起こりそうにありません。責任ある組織は、セキュリティ体制と実践を改善し、新しい法律とその影響について顧客に透明性と効果的なコミュニケーションをとることで、データ侵害を回避するよう努めます。参考文献 = リスクと情報システム管理研究マニュアル、第2章、セクション
2.1.1、32ページ。

セクション: ボリューム D

説明/参照:
Explanation:
プロジェクト リスクの監視と制御のプロセスは、プロジェクト管理プロセスの監視と制御のグループにあります。このプロセスは、リスク対応計画の実施、特定されたリスクの追跡、残存リスクの監視、新しいリスクの特定、プロジェクトを通じたリスク プロセスの有効性の評価を担当します。
誤った回答:
B: リスク対応計画は、監視および制御プロセス グループの一部として実装されます。
C: リスク対応計画はプロジェクト計画の一環として実施されていません。
D: リスク対応計画はプロジェクト実行の一環として実施されていません。

セクション: ボリューム D
Explanation:
定量的リスク評価とは異なり、定性的なリスク評価ではドル換算の価値は割り当てられません。むしろ、リスクの発生確率と影響度に基づいてリスクのレベルを決定します。これらの価値は専門家の意見を集めることで決定されます。
* 確率 - 特定のリスクの発生と再発の可能性を、単独または組み合わせて確立します。リスクは、脅威が脆弱性を悪用したときに発生します。リスクが発生する確率を定義するために、スケーリングが行われます。スケールは、低、中、高などの単語の値に基づくことができます。これらの単語に、10% が低、90% が高のようにパーセンテージを割り当てることもできます。
* 影響 - 影響は、特定されたリスクの大きさを特定するために使用されます。リスクは、何らかの損失につながります。
ただし、損失をドルの価値として数値化する代わりに、影響評価では「低」、「中」、「高」などの言葉を使用することもできます。影響は相対的な値として表されます。たとえば、低は 10、中は 50、高は 100 などです。
リスクレベル = 確率 * 影響
誤った回答:
B、D: これらは定量的リスク評価における年間損失予想値 (ALE) の計算に使用されます。計算式は次のとおりです。
エール = SLE * アロ