セクション: 巻 B
Explanation:
組織はさまざまなシナリオに対処するために、さまざまなセキュリティ プランを作成します。セキュリティ プランの多くは、ほとんどの組織に共通しています。
多くの組織で最もよく使用されているセキュリティ プランは次のとおりです。
* 事業継続計画
* 災害復旧計画
* バックアッププラン
* インシデント対応計画
誤った回答:
D: プロジェクト管理計画はセキュリティ計画ではなく、プロジェクトの実施を説明する計画です。

* 生産システムのリスク評価とは、さまざまなリソース、プロセス、テクノロジーを使用して入力を出力に変換する生産システムのパフォーマンス、品質、安全性に影響を与える可能性のあるリスクを識別、分析、評価、および処理するプロセスです12。
* リスク管理者が生産システムのリスク評価を実施した後に行う最も適切な行動は、プロセス所有者に懸念事項を伝え、それを軽減するための対策を提案することです。これは、生産システムの設計、運用、改善の責任者とコミュニケーションを取り、相談し、リスクを防止、緩和、移転、または受け入れることができるリスク対応策を提案するプロセスです34。
* この措置は、リスク対応を実施および監視する権限と説明責任を持ち、提案された対策の実現可能性と有効性に関するフィードバックと意見を提供できるプロセスオーナーの関与と協力を確実にするため、最も適切です34。
* このアクションは、組織の目標の達成と利害関係者への価値の提供に影響を与える可能性のあるリスクを特定して対処するというリスク管理プロセスと目標をサポートするため、最も適切でもあります34。
* その他のオプションは、最も適切なアクションではなく、いくつかの制限や欠点がある可能性のある代替策または補足策です。例:
* 生産システムの懸念を最小限に抑えるプログラムを推奨することは、リスクの発生可能性や影響を軽減することを目的とした、調整された相互に関連する一連の活動とタスクを設計および計画するアクションです34。ただし、このアクションは、生産システムの主要な利害関係者および意思決定者であるプロセス所有者が関与しておらず、リスク対応について異なる見解や好みを持っている可能性があるため、最も適切ではありません34。
* 開発チームに懸念事項を伝え、リスク軽減策を共同で策定する
* 対策とは、生産システムによって生産される製品またはサービスの作成、テスト、展開を担当するグループとコミュニケーションを取り、協議し、可能なリスク対応を共同で開発するアクションです34。ただし、このアクションは、生産システムの主要な所有者およびユーザーであるプロセス所有者が関与せず、リスク対応に関するニーズや期待が異なる可能性があるため、最も適切ではありません34。
* IT 管理者に懸念事項を通知し、その懸念を軽減するための対策を提案することは、生産システムをサポートする IT リソース、プロセス、システムの管理と監視の責任者とコミュニケーションを取り、協議し、可能なリスク対応策を提案することを伴うアクションです34。ただし、このアクションは、生産システムの主な利害関係者であり受益者であるプロセス所有者が関与しておらず、リスク対応に関して異なる要件や制約がある可能性があるため、最も適切ではありません34。
参考文献
* 1: 生産プロセスのリスク評価1
* 2: 産業機器のリスクアセスメント2
*3: リスク IT フレームワーク、ISACA、2009 年
* 4: ITリスク管理フレームワーク、トロント大学、2017年

セクション: ボリューム D

セクション: ボリューム D

リスク レジスターは、特定されたリスク、その原因、影響、可能性、対応、およびステータスを記録して追跡するドキュメントです。リスク レジスターは、リスク管理プロセス全体を通じてリスクを管理および伝達するのに役立ちます。リスク レジスターは、リスクの現在の状態とその対応を反映するために定期的に更新する必要があります。ビジネス プロセスの変更により、特定されたリスク シナリオは、リスク レベルが低下したか、リスクが排除されたために、緩和する必要がなくなる場合があります。ただし、最も重要な理由はリスク シナリオの潜在的な変更を監視することであるため、リスクはリスク レジスターに残しておく必要があります。これは、新しい脅威、脆弱性、機会、または制御など、リスク シナリオに影響を与える可能性のある内部および外部の要因を追跡することを意味します。リスク シナリオの潜在的な変更を監視することで、新たに発生するリスクや再発するリスクを特定して対応し、リスク レジスターが正確で完全であることを保証できます。参考文献 = リスクおよび情報システム制御研究マニュアル、第 1 章: IT リスクの特定、セクション 1.3: リスク レジスター、p. 41-43。