* IT リスク シナリオは、IT 関連リスクの発生源、原因、結果、および組織の目標、パフォーマンス、価値創造への潜在的な影響を説明する仮想的な状況です12。
* 企業リスク登録簿とは、組織が直面する重大なリスクと、それに対処するために講じられた対応と行動を記録および追跡する文書です34。
* IT リスク シナリオを企業のリスク レジスターに組み込むことの最大の利点は、組織の目標、パフォーマンス、価値創造に影響を及ぼす可能性のあるリスクを包括的かつ統合的に表現した組織のリスク プロファイルにエクスポージャーが統合されることです56。
* エクスポージャーが組織のリスク プロファイルに統合されているということは、組織が IT リスクの状況と、IT リスクが財務リスク、運用リスク、戦略リスク、評判リスクなどの他の種類のリスクに及ぼす潜在的な影響と相互依存性について、完全かつ一貫した見解を持っていることを意味します56。
* エクスポージャーが組織のリスクプロファイルに統合されるということは、組織がリスク対応とリスク対策について情報に基づいたバランスの取れた決定を下し、IT リスク管理と制御プロセスに適切なリソースと優先順位を割り当てることができることも意味します56。
* その他のオプションは、最大のメリットではありませんが、IT リスク シナリオを企業のリスク レジスタに組み込むことで得られる可能性のある結果または影響です。例:
* 企業のインシデントエスカレーションプロトコルが確立されているということは、IT リスクシナリオを企業のリスク登録簿に組み込んだ結果であり、組織が IT 関連インシデントの報告と解決、および必要に応じて適切な機関またはレベルへのエスカレーションの手順とメカニズムを定義および実装していることを示しています78。ただし、この結果は、組織の露出またはリスクプロファイルを測定または反映するものではなく、インシデントの頻度、重大性、複雑さなどの他の要因に依存する可能性があります78。
* リスク選好が事業部門管理に波及するのは、IT リスク シナリオを企業リスク レジスターに組み込んだ結果であり、組織がリスク選好 (組織が受け入れるまたは追求する意思のあるリスクの量と種類) を、運用レベルでリスク戦略と目標を実行する責任を負う事業部門管理に伝達し、整合させたことを示します。ただし、この結果は、組織の露出またはリスク プロファイルを示すものではなく、コンテキスト、環境、または利害関係者の期待に応じて変化する可能性があります。
* 組織全体の管理予算が拡大することは、ITリスクシナリオを企業リスク登録簿に組み込んだ結果であり、組織が管理プロセスに割り当てられるリソースと資金の量を増やしたことを示しています。管理プロセスとは、組織の業務の有効性と効率性を確保することを目的とした手順と活動です。
* 情報の信頼性、ポリシーと規制の遵守。ただし、この結果は、管理予算とは無関係な組織の露出やリスク プロファイルに影響を与えたり決定したりするものではありません。参考文献
* 1: IT リスク シナリオ - Morland-Austin3
* 2: リスクシナリオツールキット、ISACA、2019年
* 3: リスク登録テンプレートと例 | リスクの優先順位付けと管理1
* 4: サイバーセキュリティリーダーのためのリスクレジスターの例4
*5: リスク IT フレームワーク、ISACA、2009 年
* 6: ITリスク管理フレームワーク、トロント大学、2017年
* 7: セキュリティインシデントの報告と対応、トロント大学、2017年
* 8: セキュリティインシデントの報告と対応、ISACA、2019年
* : リスクアペタイト: 戦略、リスク、パフォーマンスの連携、ISACA、2012
* : リスク選好と許容度、ISACAジャーナル、第4巻、2013年
* : 管理プロセス | マネジメントの原則2
* : コントロール管理: コントロール管理とは何か、なぜ重要なのか | Adob​​e Workfront5

脆弱性管理プロセスは、IT システムおよびアプリケーションの脆弱性を特定、分析、優先順位付け、および修復するプロセスです。脆弱性管理プロセスの有効性は、プロセス目標の達成度と企業のリスク選好度およびリスク許容度との整合性を反映する主要業績評価指標 (KPI) によって測定できます。脆弱性管理プロセスの有効性を測定するのに最適な KPI は、合意されたサービス レベル内で修復された脆弱性の割合です。この KPI は、プロセスが脆弱性にタイムリーかつ効率的に対処し、脆弱性に関連するリスクの露出と影響を軽減できるかどうかを示します。その他のオプションは、修復アクションの品質や適時性、または企業のリスク選好度およびリスク許容度との整合性を反映しない可能性があるため、合意されたサービス レベル内で修復された脆弱性の割合ほど適切ではありません。参考文献 = リスクおよび情報システム制御研究マニュアル、第 7 版、第 4 章、セクション 4.3.2.1、pp. 171-172。

リスク文化とは、経営陣と従業員のリスク決定を形作る組織内に存在する価値観と行動の体系です1。リスク文化は、組織の目標、業務、資産に影響を及ぼす可能性のあるリスクを組織がどのように認識し、対応し、管理するかに影響します2。
質問で説明されているシナリオは、リスクに対する経営陣の姿勢と行動が組織の価値観と目標によってどのように左右されるかを示しているため、組織のリスク文化を最もよく表しています。この場合、組織のリスク文化は次のような特徴があります。
* 高いリスク選好度とリスク許容度。これは、組織が新製品の発売や新市場への参入という戦略的目標を達成するために、大きなリスクを進んで引き受け、受け入れる意思があることを意味します。
* リスク認識とリスク感度が低い。つまり、組織は、製品開発や市場参入に影響を与える可能性のある潜在的なITリスク要因、脅威、脆弱性に十分な注意を払っていない、または考慮していないことを意味します。
* リスクガバナンスとコントロールが弱い。つまり、組織には、IT リスクとその影響を特定、評価、対応、監視するための適切または効果的なポリシー、手順、メカニズムがないということです。参考文献 = 企業のリスク文化 | ERM - エンタープライズリスクマネジメントイニシアチブ ...、組織のリスク文化のコントロール | マッキンゼー

重要な資産をクラウドに移行する場合、SLA に含める最も重要な KPI は、クラウド サービス プロバイダーの可用性と信頼性を測定する標準サプライヤ稼働率です。この KPI は、クラウド サービスが運用可能でアクセス可能な頻度と、合意されたサービス レベル目標をどの程度満たしているかを示します。標準サプライヤ稼働率が高いということは、クラウド サービス プロバイダーが重要な資産の期待されるパフォーマンスと機能を提供でき、サービスの中断、ダウンタイム、またはデータ損失のリスクを最小限に抑えられることを意味します。標準サプライヤ稼働率は、組織のビジネス継続性と災害復旧の要件と整合している必要があり、クラウド サービス プロバイダーによって定期的に監視および報告される必要があります。SLA では、合意された標準サプライヤ稼働率に違反した場合の補償または修復アクションも指定する必要があります。
参考文献:
*ISACA、リスクおよび情報システム管理レビューマニュアル、第7版、2020年、p. 2501
*ISACA、「クラウド コンピューティング: セキュリティ、ガバナンス、保証の観点から見たビジネス上のメリット」、2009 年、142 ページ
*SLAとは? サービスレベル契約のベストプラクティス3

セクション: 巻 C
Explanation:
計画リスク管理プロセスへの入力は次のとおりです。
* プロジェクト範囲ステートメント: プロジェクトに関連する可能性の範囲を明確に示し、リスク管理の取り組みがどの程度重要になるかについての枠組みを確立します。
* コスト管理計画: リスク予算、不測の事態、管理準備金がどのように報告され、アクセスされるかを説明します。
* スケジュール管理計画: スケジュールの不測の事態がどのように報告され、評価されるかを説明します。
* コミュニケーション管理計画: プロジェクトで発生するやり取りを説明し、さまざまなリスクと対応に関する情報をさまざまなタイミングで共有できる担当者を決定します。
* 企業環境要因: 組織が耐えるリスクの程度を表すリスクに対する姿勢や許容度などが含まれますが、これらに限定されません。
* 組織プロセス資産: これには、リスク カテゴリ、リスク ステートメントの形式、標準テンプレート、役割と責任、意思決定の権限レベル、学んだ教訓、利害関係者の登録などが含まれますが、これらに限定されません。
誤った回答:
A: リスク管理プロセス計画の入力ではありません。