CRISC 351-400 トピック 3 フラッシュカードによると、リスク分析に一般的な IT リスク シナリオ セットを使用する場合の最大の懸念は、リスク要因が組織に関連しない可能性があることです。これは、一般的なリスク シナリオが組織の特定のコンテキスト、目的、環境に合わせて調整されておらず、組織が直面する固有の脅威、脆弱性、影響を捉えられない可能性があるためです。
したがって、一般的なリスク シナリオを使用すると、リスク評価と分析が不正確または不完全になり、効果的でない、または不適切なリスク対応につながる可能性があります。これを回避するには、組織はリスク シナリオをカスタマイズして独自の状況とニーズを反映し、関連する利害関係者と専門家をプロセスに参加させる必要があります。参考資料 = CRISC 351-400 topic3 フラッシュ カード、リスク分析のための一般的な IT リスク シナリオ:
最大の懸念

契約上、サプライヤーにプライバシー法の遵守を義務付けることは、個人情報をサプライヤーに転送する際にプライバシー法に違反するリスクを軽減する最善の方法です。なぜなら、これにより、サプライヤーは個人情報のプライバシーとセキュリティを保護する適用法および規制を遵守する法的義務を負うことが保証されるからです。また、これにより、プライバシー侵害が発生した場合のサプライヤーの明確な説明責任と賠償責任が生まれ、個人情報に関する両当事者の権利と義務が定義されます。その他のオプションは、プライバシー法に違反するリスクを軽減する最善の方法ではありませんが、プライバシー侵害の可能性や影響を軽減するのに役立つ場合があります。サプライヤーへの転送中にデータを暗号化すること、サプライヤーの制御環境の独立した監査を要求すること、データ転送中にブロックチェーンを使用することは、個人情報の機密性、整合性、可用性を保護することを目的とした技術的または保証的な制御の例ですが、プライバシー法の法的または契約的側面には対処していません。参考資料 = CRISC: Certified in Risk & Information Systems Control サンプル問題

セクション: ボリューム D