説明/参照:
Explanation:
脅威とは、損失を引き起こす可能性のあるあらゆるイベントです。言い換えれば、潜在的な危険を示すあらゆる活動です。損失または危険は、次のいずれかに直接関連しています。
機密性の喪失 - 誰かがパスワードや会社の秘密の計算式を見た場合、これは

機密性の損失。整合性の損失 - 電子メール メッセージが送信中に変更されたり、ファイルがウイルスに感染したり、誰かが Web サイトに許可されていない変更を加えたりすることを整合性の損失と呼びます。
可用性の喪失 - 電子メールサーバーがダウンして誰も電子メールにアクセスできない、またはファイルサーバーがダウンして

データ ファイルが利用できない場合は、可用性の損失が発生します。
脅威の特定は、脅威のリストを作成するプロセスです。このリストは、組織に対するすべての潜在的な脅威を特定しようとします。リストは広範囲にわたる場合があります。
脅威は多くの場合、以下のようにサブカテゴリに分類されます。
外部または内部 - 外部の脅威は組織の境界外にあります。また、

内部の脅威は組織の管理外のリスクと考えられています。一方、内部の脅威は組織の境界内にあります。これらは、会社のリソースにアクセスできる従業員やその他の人員に関連している可能性があります。内部の脅威は、企業が管理するあらゆるハードウェアやソフトウェアに関連している可能性があります。
自然または人為的 - 自然による脅威は、ハリケーン、竜巻、台風などの天候に関連することが多い。

氷嵐。地震や津波などの自然災害も自然の脅威です。人為的脅威とは、人によって引き起こされる脅威のことです。資源に危害を加えようとする試みはすべて人為的脅威です。火災は、その発生方法によって人為的なものか自然的なものかが変わります。
意図的か偶発的か - 機密性、整合性、または可用性を侵害する試みは意図的です。

従業員のミスやユーザーエラーは偶発的な脅威ですが、データを破損する欠陥のあるアプリケーションも偶発的なものとみなされる可能性があります。

セクション: ボリューム D

セクション: 巻 A
Explanation:
企業の内部環境と外部環境は常に変化しているため、リスク環境も非常に動的であり、脅威と脆弱性は時間とともに変化します。したがって、KRI がこれらの変化を効果的に捉え続けるように、KRI を維持する必要があります。
誤った回答:
A: タイムリーなリスク報告はビジネス要件の 1 つですが、KRI メンテナンスの理由ではありません。
B: ほとんどの主要リスク指標メトリックは感度に関して最適化する必要がありますが、KRI メンテナンスの最も重要な目的は、KRI が時間の経過とともに脅威と脆弱性の変化を効果的に捉え続けることを保証することです。
D: リスクの回避はリスク対応の一種です。リスク対応は KRI レポートに基づいています。

状況を解決し、包括的なリスク対応計画を定義する最も効果的な方法は、根本原因分析を実行することです。根本原因分析は、問題またはインシデントの発生につながった根本的な要因または原因を特定して対処する方法です1。この場合、問題またはインシデントは、組織に影響を与えたマルウェア感染です。根本原因分析を実行することで、組織はマルウェアがシステムに感染した方法と理由、どの脆弱性または弱点が悪用されたか、どの制御またはプロセスが失敗または欠落していたか、およびどのようなアクションまたは決定が状況の一因となったかを判断できます。根本原因分析は、組織が同様のインシデントの再発を防止または軽減するのに役立つだけでなく、リスク管理プロセスの有効性と効率性を向上させるのに役立ちます。根本原因分析は、組織が包括的なリスク対応計画を定義するのにも役立ちます。これは、リスクの軽減、回避、移転、または受け入れなど、リスクを修正するために実行される一連のアクションまたは対策です2。
根本原因分析の調査結果と推奨事項に基づいて、組織はマルウェア リスクだけでなく、その他の関連リスクや新たなリスクに対して最も適切なリスク処理オプションを選択して実装できます。リスク処理計画には、リスク処理アクションの役割と責任、リソース、タイムライン、パフォーマンス指標も含める必要があります3。その他のオプションは、根本原因分析ほど徹底的ではないか、関連性が低いため、状況を解決して包括的なリスク処理計画を定義するための最も効果的な方法ではありません。ギャップ分析は、プロセス、システム、または組織の現在の状態と望ましい状態を比較し、それらのギャップまたは違いを特定する方法です4。ギャップ分析は、組織が改善または強化する領域、および望ましい状態を達成するための機会や課題を特定するのに役立ちます。ただし、ギャップ分析は、マルウェア感染の原因や結果、またはリスクを軽減するためのアクションや対策に対処しないため、状況を解決して包括的なリスク処理計画を定義するための最も効果的な方法ではありません。影響評価とは、変更、決定、またはアクションがプロセス、システム、または組織に及ぼす潜在的な影響や結果を推定する方法です5。影響評価は、提案または実装された変更、決定、またはアクションの利点とコスト、およびリスクと機会を組織が評価するのに役立ちます。
ただし、影響評価は、マルウェア感染の原因や性質、またはリスクを管理するためのソリューションや代替策を調査しないため、状況を解決し、包括的なリスク処理計画を定義するための最も効果的な方法ではありません。脆弱性評価は、脅威によって悪用されて損害や損失を引き起こす可能性のある、プロセス、システム、または組織の弱点や欠陥を特定して分析する方法です6。脆弱性評価は、組織が脆弱性を発見して優先順位を付けるだけでなく、脆弱性を軽減または排除するための制御や対策を推奨して実装するのに役立ちます。
ただし、脆弱性評価は、マルウェア感染の根本原因や影響、またはリスクに対処するためのリスク処理オプションや計画を考慮していないため、状況を解決し、包括的なリスク処理計画を定義するための最も効果的な方法ではありません。参考文献 = リスクおよび情報システム制御研究マニュアル、第 7 版、第 2 章、セクション 2.1.8、61 ページ。

ソーシャル エンジニアリング テストを実施することは、セキュリティ意識向上トレーニングの有効性を評価する最良の方法です。これは、人間の脆弱性を悪用するシミュレートされた現実世界の攻撃に対する従業員の実際の行動と反応を測定および評価するのに役立つためです。ソーシャル エンジニアリング テストは、従業員に対して承認された倫理的なハッキング活動を実行し、資格情報などの機密情報を明らかにさせたり、フィッシング リンクをクリックしたり悪意のある添付ファイルを開いたりするなどの悪意のあるアクションを実行させたりするためのセキュリティ テストの一種です。ソーシャル エンジニアリング テストは、次の利点を提供することで、セキュリティ意識向上トレーニングの有効性を評価するのに役立ちます。
* フィッシング、ビッシング、ベイティング、なりすましなどのソーシャル エンジニアリング攻撃を認識し、それに対抗する従業員の知識とスキルをテストします。
* 従業員のセキュリティ意識と行動の長所と短所、および組織のセキュリティ体制とリスク露出に対する従業員の行動の影響と重大度を特定して測定します。
* 従業員にフィードバックと学習の機会を提供し、セキュリティ意識と行動を向上させ、トレーニングで教えられた重要な概念と実践を強化します。
* テストの結果と発見事項を経営陣と利害関係者に伝達および報告し、是正措置または予防措置の開発と実施をサポートします。
その他のオプションは、セキュリティ意識向上トレーニングの有効性を評価するための最良の方法ではありません。セキュリティ意識向上トレーニング資料を監査することは、トレーニング コンテンツが正確で、関連性があり、最新のものであることを確認するための良い方法ですが、従業員のセキュリティ意識や行動を測定または評価するものではありません。
トレーニング終了時のクイズの実施は、従業員のトレーニング内容の理解度と記憶力をテストする便利な方法ですが、現実の状況における従業員のセキュリティ意識と行動を反映またはシミュレートするものではありません。脆弱性評価の実施は、システムとソフトウェアの潜在的な脆弱性を特定して分析するための重要なステップですが、人的脆弱性や従業員のセキュリティ意識と行動を評価したり対処したりするものではありません。参考資料 = セキュリティ意識トレーニングの有効性を評価する 3 つの方法...、IT リスク リソース | ISACA、セキュリティ意識トレーニングの有効性の測定 - Hut Six