ギャップ分析を完了すると、現在の制御と IT 制御フレームワークの要件との不一致が特定され、コンプライアンスへの重点的なアプローチが確保されます。これは、コンプライアンス要件のリスク評価をサポートします。

リスク ポートフォリオとは、組織が直面している、または将来直面する可能性のあるリスクの集合です。主要管理指標 (KCI) の傾向を分析すると、リスク担当者は組織のリスク ポートフォリオへの影響を積極的に特定できます。これは、KCI がリスクを軽減するために実装されたリスク管理のパフォーマンスと有効性を測定および監視するためです。KCI の傾向を分析することで、リスク担当者は組織の現在のリスク エクスポージャーと潜在的なリスク エクスポージャーを評価し、リスク ポートフォリオに影響を与える可能性のある変更や新たなリスクを特定できます。KCI の傾向を分析すると、リスク管理のコストと利点を評価し、新しい管理の強化、変更、実装の必要性を判断するのにも役立ちます。参考文献
= CRISC: リスクおよび情報システム制御認定のサンプル問題、質問 246。最もよく尋ねられる CRISC 試験の質問と回答、質問 10。ISACA リスクおよび情報システム制御認定 (CRISC) 認定試験の質問と回答、質問 246。Isaca による CRISC 実際の無料試験の Q&A、質問 9。

セクション: ボリューム D

セクション: 巻 C
Explanation:
包括的管理計画の一部であるリスク管理計画では、リスクをどのように特定、分析、監視、制御し、さらには対応するかを定義します。
リスク管理計画は、効果を見積もり、リスクを予測し、リスクを軽減するための対応計画を作成するためにプロジェクト マネージャーが作成する文書です。リスク評価マトリックスも含まれています。
リスクはどのプロジェクトにもつきものです。プロジェクト マネージャーはリスクを繰り返し評価し、リスクに対処するための計画を立てます。リスク管理計画は、影響度の高いリスクと低いリスクの両方の考えられるリスクの分析と、プロジェクトを促進し、よくある問題が発生する脱線を回避するための緩和戦略で構成されます。リスク管理計画は、分析が古くなり、実際の潜在的なプロジェクト リスクを反映しなくなることを避けるために、プロジェクト チームによって適時に見直される必要があります。最も重要なのは、リスク管理計画にプロジェクト実行のリスク戦略が含まれていることです。
誤った回答:
A: プロジェクト計画は、公式の PMBOK プロジェクト管理計画ではありません。
B: リソース管理計画では、プロジェクト チーム メンバー、施設、機器、請負業者などのプロジェクト リソースの管理を定義します。
C: プロジェクト管理計画は、すべてのプロジェクト管理知識領域に対してプロジェクトの意図を伝える包括的な計画です。

* リスクシナリオ: 潜在的なリスクイベント、その原因、結果、および可能性を説明する物語1。
* モノのインターネット (IoT): 相互接続されたデバイス、ソフトウェア、センサー、その他のモノが人間の介入なしに通信し、データを交換するネットワーク2。
* IoT の脅威の状況: IoT デバイス、システム、ネットワークを標的とする脅威と攻撃の範囲と種類3。
組織における IoT テクノロジの導入に関連するリスク シナリオを特定する際に最も役立つのは、IoT の脅威の状況です。IoT の脅威の状況は、IoT デバイス、システム、ネットワークに対するサイバー攻撃の潜在的な発生源、方法、影響について、包括的かつ最新の概要を提供します。IoT の脅威の状況を確認することで、組織は次のことが可能になります。
* IoT技術に影響を及ぼす最も関連性の高い一般的な脅威と脆弱性を特定します。
* 脆弱なパスワード、安全でないインターフェース、不十分なデータ保護、不適切なデバイス管理、暗号化の欠如4。
* マルウェア感染、サービス拒否攻撃、データ侵害、不正アクセス、妨害行為など、さまざまな種類の攻撃の可能性と影響を評価します4。
* 対処および軽減する必要がある最も重大かつ緊急のリスクを優先します。
* 実際の IoT 脅威環境と組織の特定の状況および目的を反映した現実的で妥当なリスク シナリオを作成します。
その他のオプションは、組織における IoT テクノロジの導入に関連するリスク シナリオを特定する場合、IoT 脅威ランドスケープほど役に立ちません。なぜなら、これらのオプションでは、IoT テクノロジを標的とする潜在的な脅威や攻撃について包括的かつ最新の見解が得られないからです。IoT の使用に関するビジネス ケースは、予想されるメリット、コスト、リスクに基づいて IoT テクノロジを導入する正当性と根拠を示すもので、組織にとっての IoT テクノロジの価値と目的を理解するのに役立つかもしれませんが、IoT テクノロジに影響を与える特定の脅威や脆弱性に関する詳細な情報は得られません。IoT のポリシー開発は、IoT テクノロジのガバナンス、管理、セキュリティに関するルールとガイドラインを作成して実装するプロセスであり、組織内で IoT テクノロジの標準と期待を確立するのに役立つかもしれませんが、IoT テクノロジを標的とする外部の脅威や攻撃の概要は得られません。IoT デバイスがアクセスできるネットワーク (IoT デバイスの接続と通信を可能にするインフラストラクチャとシステム) は、IoT 脅威の潜在的なエントリ ポイントと攻撃ベクトルを特定するのに役立つかもしれませんが、IoT 脅威の種類と影響の全体像は得られません。
参考資料 = リスク シナリオ ツールキット、モノのインターネット (IoT) とは? 例付き | Coursera、IoT のセキュリティに関する主な問題と課題 (2022) - Thales、モノのインターネットの 8 つの脅威とセキュリティ リスク - SecurityScorecard