リスク評価とは、組織の目的、資産、業務に関連して組織が直面するリスクを特定、分析、評価するプロセスです。リスク評価は、潜在的な脅威の可能性と影響、および既存の管理の妥当性と有効性を判断するのに役立ちます。また、リスク評価は、リスクの回避、移転、緩和、受け入れなどの適切なリスク対応を選択して実装するリスク処理の基礎も提供します。このシナリオでのクライアントの最善の行動は、サードパーティのサービス プロバイダーのリスク評価に頼るのではなく、独自のリスク評価を実行することです。これは、サードパーティのサービス プロバイダーがクライアントとは異なるリスク基準、想定、方法、または視点を持っている可能性があり、クライアントの特定のリスク コンテキスト、ニーズ、および期待を完全に理解または対処していない可能性があるためです。サードパーティのサービス プロバイダーのリスク評価は、偏っていたり、時代遅れであったり、不正確であったり、現在または将来のリスク環境を反映していない可能性があります。独自のリスク評価を実施することで、クライアントは、システムがハッキングされるリスクが適切に特定、測定、管理され、リスク レベルが許容範囲内であり、リスク選好度と許容範囲に合致していることを確認できます。その他のオプションは、クライアントを不必要なリスクや許容範囲外のリスクにさらす可能性があるため、クライアントにとって最善の行動方針ではありません。リスクに対処するための追加の制御を実装すると、コストがかかったり、効果がなかったり、冗長になったりする可能性があり、実際のリスク レベルによって正当化されない可能性があります。サードパーティ サービス プロバイダーのリスク評価に基づいてリスクを受け入れることは、クライアントがリスクの露出や結果を明確または正確に理解していない可能性があるため、リスクを伴う可能性があります。サードパーティの独立した監査を実施することは有用かもしれませんが、クライアントのシステムがハッキングされるリスクを評価して対処するには十分ではないか、タイムリーではない可能性があります。参考文献 = CRISC レビュー マニュアル、38 ～ 391 ページ、CRISC レビューの質問、回答、および説明マニュアル、792 ページ

セクション: ボリューム D