リスク レジスターは、プロジェクトまたは組織に影響を及ぼす可能性のあるリスクを識別および追跡するためのリスク管理ツールとして使用されるドキュメントです1。リスク レジスターには、リスクを軽減または排除するために実行または計画されているアクションであるリスク対応に関する情報も含まれます2。したがって、リスク レジスターは、リスク対応のステータスと進捗状況、リスク対応の結果と成果、リスク対応から得られたフィードバックと教訓を示すため、リスク対応がリスク アクション プランに従って実行されたことを示す最良の証拠となります3。リスク ポリシー レビューは、リスク対応に関する具体的な情報を提供しないため、リスク対応がリスク アクション プランに従って実行されたことを示す最良の証拠ではありません。リスク ポリシー レビューは、組織のリスク管理ポリシーが最新で、関連性があり、効果的であることを確認して検証するプロセスです4。リスク ポリシー レビューは、リスク管理ポリシーのギャップや問題を特定して対処するのに役立ちますが、リスク対応の詳細とパフォーマンスは示されません。ビジネス影響分析 (BIA) は、リスク対応に関する具体的な情報を提供しないため、リスク対応がリスク アクション プランに従って実行されたことを示す最良の証拠にはなりません。BIA は、組織の重要な機能とプロセスに対する中断の潜在的な影響を特定して評価するプロセスです5。BIA はリスク イベントの影響を予測するのに役立ちますが、リスク対応のアクションと結果を示すものではありません。コントロール カタログは、リスク対応に関する具体的な情報を提供しないため、リスク対応がリスク アクション プランに従って実行されたことを示す最良の証拠にはなりません。コントロール カタログは、組織内のリスクを管理するために実装または計画されているコントロールをリストして説明するドキュメントです6。コントロール カタログは、コントロールを文書化して伝達するのに役立ちますが、リスク対応のステータスと結果を示すものではありません。参考文献
= 1: リスク レジスター: プロジェクト マネージャー向けガイド (例付き) [2023] * Asana2: リスク対応戦略​​と緊急時対応計画 - ProjectManagement.com3: リスク レジスター: 例、利点、ベスト プラクティス4: リスクとコントロールを評価するための簡単なガイド | ACCA Global5: ビジネス影響度分析を使用してリスクの優先順位付けと対応を通知する6: [コントロール カタログ - ISACA]

セクション: ボリューム D

新しいビジネス プロセスをサポートする新しいサービスのリスク評価を実行する際に、業務の継続性を確保するための最初のステップは、サービスまたはプロセスの中断を引き起こす可能性のある条件を特定することです。これは、中断の潜在的なソース、原因、シナリオを特定することで、リスクの影響と可能性を判断し、適切なリスク対応と回復戦略を選択するのに役立つためです。その他のオプションは最初のステップではありませんが、リスク評価プロセスの一部になることもあります。インシデント対応手順の確認、リスク イベントの確率の評価、可用性を回復するためのメトリックの定義は、中断を引き起こす可能性のある条件の特定に依存する後続のステップの例です。参考資料 = CRISC: リスクおよび情報システム制御の認定 サンプル問題

攻撃による感染の可能性を減らすための最初のステップは、攻撃によって悪用される可能性のあるシステムを特定することです。これにより、組織はリスクの範囲と重大度を評価し、すぐに保護する必要があるシステムに優先順位を付けることができます。攻撃によって悪用される可能性のあるシステムを特定することで、組織は適切なパッチ、更新、または構成を適用して攻撃を防止または軽減し、すでに感染または侵害されているシステムを隔離または切断することもできます。参考文献 = リスクおよび情報システム制御研究マニュアル、第 7 版、第 2 章、セクション 2.1.2、ページ 60123