重要な IT システムが利用できなくなると、組織の事業継続性、生産性、パフォーマンスが損なわれる可能性があるため、大規模な IT 変革の際に組織の業務に最も大きなリスクが生じます。また、重要な IT システムが利用できなくなると、組織に金銭的、評判的、または法的損害が生じ、顧客への製品やサービスの品質と提供に影響が及ぶ可能性があります。その他の選択肢は、大きなリスクではありませんが、大規模な IT 変革の際に組織に何らかの課題や脅威をもたらす可能性があります。堅牢な認識プログラムの欠如、主要なコントロールのリスク評価の頻度の低さ、IT 手順の急速な変更などは、IT 変革の計画、実行、または監視に影響を与える可能性のある管理またはプロセス リスクの例ですが、重要な IT システムが利用できなくなることほどの影響や重大性はありません。参考資料 = CRISC: Certified in Risk & Information Systems Control サンプル問題

セクション: 巻 A
Explanation:
リスクの有用性は、特定のリスクが個人にとってどれほど有用であるかを表します。さらに、同じリスクが 2 人の個人によって異なる方法で利用されることもあります。財務結果は、リスクを取ることの潜在的な価値を測定する方法の 1 つです。たとえば、個人の経済的富が増加すると、リスクの潜在的な有用性は減少します。
誤った回答:
A: 金銭的インセンティブを決定することは、リスクを取ることの潜在的な価値を測定する方法の 1 つですが、リスクの効用に対する有効な定義ではありません。
B: それは有効な定義ではありません。
C: それは有効な定義ではありません。

リスク レジスターは、プロジェクトに影響を及ぼす可能性のあるリスクと、リスクを管理するために実行または計画されているアクションを記録および追跡するツールです1。リスク レジスターには、リスクの説明、カテゴリ、ソース、影響、可能性、重大性、所有者、ステータス、対応などの情報を含める必要があります2。これらのうち、リスク レジスターに記録する最も重要な情報は、処理が必要なリスク シナリオに対処するためのアクション プランです。これは、アクション プランが、選択したリスク処理オプションに応じて、リスクを軽減、回避、転送、または受け入れるために実行される具体的な手順であるためです3。アクション プランは、明確で現実的、測定可能で、プロジェクトの目的と制約に沿ったものでなければなりません4。また、アクション プランは、変化するリスク環境に対して効果的かつ適切であることを確認するために、定期的に監視および更新する必要があります5。アクション プランは、リスクを管理し、プロジェクトを成功裏に完了するために不可欠です。その他のオプションは、アクション プランよりも関連性が低いか、実行可能性が低いため、リスク レジスターに記録する最も重要な情報ではありません。リスク評価を実施したチームとは、さまざまなツールや手法を使用してリスクを特定、分析、評価した人々のグループです6。この情報は説明責任やコミュニケーションの目的には役立つかもしれませんが、リスクがどのように扱われ解決されるかは示されていないため、行動計画ほど重要ではありません。監督を行うために任命されたリスク マネージャーは、リスク管理プロセスを監督し、リスクが適切に特定、評価、処理、報告されるようにする責任と権限を持つ人物です。この情報はガバナンスと調整の目的には役立つかもしれませんが、リスクを管理するためにどのような行動が取られるか、または計画されているかは指定されていないため、行動計画ほど重要ではありません。リスク評価を実行するために使用される方法論は、プロジェクトのコンテキスト、範囲、および目的に基づいてリスクを特定、分析、評価するために使用されるアプローチまたはフレームワークです。この情報は一貫性と透明性の目的には役立つかもしれませんが、リスクがどのように対処または軽減されるかは説明されていないため、行動計画ほど重要ではありません。
参考文献 = リスクおよび情報システム制御研究マニュアル、第 7 版、第 2 章、セクション 2.1.5、55 ページ。

認証は、コンピュータ システムまたはネットワークにアクセスしようとするユーザーまたはシステムの ID を確認するコントロールです。認証は、ユーザーまたはシステムが知っている情報 (パスワードや PIN など)、ユーザーまたはシステムが持っている情報 (トークンやスマート カードなど)、またはユーザーまたはシステムの性質 (指紋や網膜スキャンなど) に基づいて行うことができます。認証は、システムまたはネットワークへの不正アクセスや悪意のあるアクセスを防止するだけでなく、ユーザーまたはシステムが実行したアクションの説明責任と追跡可能性を確保するための重要なコントロールです。認証コントロールが侵害された場合、ユーザーまたはシステムは検証プロセスをバイパスまたは破り、識別または承認されることなくシステムまたはネットワークにアクセスできることを意味します。これにより、システムまたはネットワークは、データの盗難、データの破損、データの漏洩、サービス拒否などのさまざまな脅威にさらされる可能性があります。したがって、システム管理者がファイアウォール内で侵入者を示す異常なアクティビティを特定した場合、認証コントロールが侵害されている可能性が高くなります。ファイアウォールは、定義済みのルールとポリシーに基づいて、受信および送信ネットワーク トラフィックを監視およびフィルタリングするデバイスまたはソフトウェアです。ファイアウォールは、送信元、送信先、プロトコル、またはコンテンツに基づいてトラフィックをブロックまたは許可することで、システムまたはネットワークを外部または内部の攻撃から保護するのに役立ちます。ただし、侵入者がすでに正当なユーザーまたはシステムを認証または偽装している場合は、ファイアウォールは侵入者がシステムまたはネットワークにアクセスするのを防ぐことはできません。その他のオプションは、システム管理者がファイアウォール内で侵入者を示す異常なアクティビティを特定した場合に侵害される可能性が最も高いコントロールではありませんが、影響を受けるか関連している可能性があります。データ検証は、システムまたはネットワークによって入力、処理、または保存されるデータの正確性、完全性、および品質をチェックするコントロールです。データ検証は、システムまたはネットワークのパフォーマンス、機能、または信頼性に影響を与える可能性のあるデータ エラー、異常、または不整合を防止または検出するのに役立ちます。ただし、データ検証は、ユーザーやシステムではなくデータのみに焦点を当てているため、システムまたはネットワークへの不正または悪意のあるアクセスを防止または検出することはできません。識別とは、コンピュータ システムまたはネットワークにアクセスしようとするユーザーまたはシステムに一意の識別子を割り当てるコントロールです。識別は、ユーザー名、電子メール アドレス、電話番号、または証明書に基づいて行うことができます。識別は、システムまたはネットワークへの不正アクセスや悪意のあるアクセスを防止するために必要なコントロールですが、それだけでは十分ではありません。識別は、ユーザーまたはシステムが誰であるか、または何であるかを宣言するだけで、それを証明するものではないためです。ユーザーまたはシステムの ID を確認するには、識別を認証と組み合わせる必要があります。
データ整合性は、データがそのライフサイクル全体を通じて正確で、一貫性があり、完全であることを保証する制御です。データ整合性は、暗号化、ハッシュ、チェックサム、デジタル署名、バックアップなどのさまざまな制御を実装することで実現できます。データ整合性は、データの価値、意味、または有用性に影響を与える可能性のある、不正または偶発的な変更、削除、または破損からデータを保護するのに役立ちます。ただし、データ整合性は、ユーザーやシステムではなくデータのみを保護するため、システムまたはネットワークへの不正または悪意のあるアクセスを防止または検出することはできません。参考文献 = CRISC レビューマニュアル、164 ページ -
1651; CRISC レビュー問題、解答、解説マニュアル、952 ページ; 認証とは何ですか? - Techopedia3 からの定義; ファイアウォールとは何ですか? - Techopedia4 からの定義

是正措置計画を確実に実施するための最良の方法は、リスク所有者に説明責任を割り当てることです。是正措置計画とは、プロセスまたはコントロールのパフォーマンスまたはコンプライアンスを修正または改善するために必要なアクションとリソースを説明する計画です。リスク所有者は、リスクとその対応を管理する権限と責任を持つ人です。リスク所有者に説明責任を割り当てることで、是正措置計画の実施を監視、評価、および実施し、結果と成果を報告して伝達することができます。その他のオプションは、是正措置計画の監視やガバナンスではなく、是正措置計画のトレーニング、スケジュール、またはアウトソーシングに関連するため、リスク所有者に説明責任を割り当てるほど効果的ではありません。参考文献 = リスクおよび情報システム制御研究マニュアル、第 4 章: リスクと制御の監視と報告、セクション
4.4: キーコントロールインジケーター、211 ページ。