組織が一般的なリスク シナリオを使用してリスク レジスターに入力した場合、関連するリスク エントリを割り当てる際の最大の課題は、リスク シナリオが適用できないことです。一般的なリスク シナリオは、多くの組織や業界に影響を与える可能性のある一般的な状況または典型的な状況に基づいたリスク シナリオです。
これらは、潜在的なリスクの一般的な概要や参照を提供するのに役立ちますが、特定の組織や状況には関連性、特異性、または現実的ではない可能性があります。したがって、一般的なリスク シナリオを使用すると、組織の実際のリスク プロファイルやリスク許容度を反映しない、不正確、不完全、または誤解を招くリスク エントリが発生する可能性があります。その他のオプションは、リスク シナリオの適切性や妥当性ではなく、リスク シナリオの量、品質、または集約に関係するため、リスク シナリオが適用できないほど困難ではありません。参考文献 = リスクおよび情報システム制御研究マニュアル、第 1 章
1: IT リスクの特定、セクション 1.3: IT リスクのシナリオ、23 ページ。

災害復旧テストは、災害シナリオのシミュレーションであり、災害復旧計画の有効性と準備状況を評価します。災害復旧テストの主な目的は、災害発生後、組織がデータ損失を最小限に抑えて、またはデータ損失なしで、できるだけ早く通常の業務を再開できるようにすることです。したがって、ビジネスの観点から見た災害復旧テストの最も重要な目的は、すべての重要なデータが RTO 内に復旧できることを確認することです。RTO とは、災害発生後にデータとシステムを復元するための許容可能な最長時間です。RTO が満たされない場合、組織は財務、運用、評判の面で大きな損失を被る可能性があります。その他のオプションは、有益な結果となる場合もありますが、災害復旧テストの最も重要な目的ではありません。組織が災害から復旧できることを保証することは主観的で定性的な目標ですが、RTO 内でデータを復旧することは測定可能で定量的な目標です。災害復旧プロセスにおけるエラーの発見は、災害復旧テストの貴重な結果ですが、主な目的ではありません。目的は、エラーを見つけるだけでなく、エラーを修正してプロセスを改善することです。すべてのビジネス クリティカル システムをテストすることは、災害復旧テストの必須ステップですが、最終的な目標ではありません。目標は、システムが RTO 内で正常に復元され、機能することを確認することです。参考資料 = CRISC レビュー マニュアル、197 ～ 1981 ページ、CRISC レビューの質問、回答、および説明マニュアル、572 ページ

説明/参照:
Explanation:
戦略リスクとは、組織の戦略目標が計画どおりに達成されない可能性があるリスクです。戦略目標は組織全体を形作り、影響を与えるため、その目標を達成できないリスクは組織に大きな脅威をもたらす可能性があります。
戦略リスクは、外部リスクと内部リスクに分類できます。
外部リスクとは、企業の外部から発生する状況であり、潜在的に

企業に悪影響を与えるか、または有益な影響を与えるか。これらのリスクには、経済、産業、または規制条件の突然の変化が含まれます。外部リスクには予測可能なものもあれば、そうでないものもあります。たとえば、不況は予測可能であり、企業は経済的に危険を回避できる可能性がありますが、市場全体の失敗は予測不可能であり、はるかに壊滅的になる可能性があります。
内部リスクは通常、企業のイメージや評判に焦点を当てています。

これには、公的なコミュニケーション、信頼、利害関係者や顧客からの戦略的合意が関係します。

* 退職した従業員のITシステムへのアクセスを組織からの退職時に取り消すための最良の方法は、人事（HR）システムでシステムアクセスを自動的に取り消すことです。
* は、人事システムと IT システムを統合し、人事システムに退職が記録されるとすぐに従業員のアクセス権の削除をトリガーするプロセスです12。
* この方法は、アクセスを取り消す最もタイムリーで正確かつ一貫した方法を提供し、手動または半自動のプロセスで発生する可能性のある人為的エラー、見落とし、または遅延のリスクを軽減するため、最適です12。
* この方法は、組織のセキュリティとコンプライアンスを強化し、退職した従業員が退職後に IT システムやデータにアクセスしたり、それらを侵害したりすることを防ぐため、最適です12。
* その他のオプションは最善の方法ではなく、代替または補足的な方法であり、いくつかの制限や欠点がある可能性があります。例:
* ログイン試行を解雇された従業員のリストと照合する方法は、IT システムのログイン アクティビティを監視および検証し、それを解雇された従業員のリストと比較して、不正なアクセス試行を特定してブロックする方法です34。ただし、この方法は予防的ではなく受動的であり、照合が完了する前に解雇された従業員が IT システムにアクセスするのを防ぐことができない可能性があるため、最適な方法ではありません34。
* 解雇された従業員のリストを現在の IT アクセスと照合するために生成する方法は、解雇された従業員のリストを作成して維持し、現在の IT アクセス権と照合して不要になったアクセスを特定して削除する方法です34。ただし、この方法は手作業で手間がかかり、リストやアクセス権にエラーや不整合が生じる可能性があるため、最適な方法ではありません34。
* 退職面接中に従業員のアクセスを削除するプロセスは、退職した従業員との退職面接を実施し、面接中または面接直後に従業員の IT システムへのアクセスを無効にするという方法です34。ただし、この方法は、退職した従業員の可用性と協力に依存し、従業員が持っていたすべての IT システムやアクセス権をカバーできない可能性があるため、最善の方法ではありません34。参考文献
* 1: 従業員の解雇におけるITの関与、チェックリスト3
* 2: 退職する従業員がアクセス権を保持しないようにするためのベストプラクティス5
* 3: ユーザー終了のベストプラクティス - IT セキュリティ - Spiceworks2
* 4: 従業員解雇のための IT セキュリティ - ポリシー、チェックリスト、テンプレート - Endsight1