リスク管理担当者が、データベースアプリケーションが開発されていると特定した場合の最善の行動は、
ITとは独立してビジネスによって実装されるアプリケーションをITリスク評価に含めることが、IT
リスク評価とは、IT関連のリスクを特定、分析、評価するプロセスであり、
企業の目標達成。ITリスク評価にアプリケーションを含めることで、リスクは
実務者は、アプリケーションに関連する潜在的な脅威、脆弱性、影響を特定でき、
リスクを許容可能なレベルまで低減するための適切な管理および軽減戦略を推奨します。
懸念事項を上級管理職にエスカレーションし、例外の理由を文書化し、
アプリケーションをIT部門に移管することは、リスクの露出に対処しないため、最善の行動方針ではない。
アプリケーションの影響が限定的であり、ビジネスにとって実現可能または望ましくない可能性があります。参考文献 = CRISC
レビューマニュアル、第 6 版、ISACA、2015 年、47 ページ。

自動化された情報セキュリティ管理策とは、情報およびシステムの機密性、完全性、および可用性を保護するために、人間の介入なしにソフトウェアまたはハードウェアによって実装または実行される管理策です1。自動化された情報セキュリティ管理策の例としては、ファイアウォール、ウイルス対策ソフトウェア、暗号化、認証、ログ記録などが挙げられます2。自動化された情報セキュリティ管理策の有効性は、セキュリティ上の脅威やインシデントの防止、検出、対応など、意図された目的と成果をどの程度達成できるかを指します3。自動化された情報セキュリティ管理策の有効性を運用開始前に測定する最良の方法は、非運用環境でテストすることです。非運用環境とは、運用環境をシミュレートした環境ですが、実際のデータや機密データ、システムを含まない環境です4。非運用環境でのテストにより、組織は通常の業務に影響を与えたり、データやシステムの漏洩リスクを負ったりすることなく、自動化された情報セキュリティ管理策の適切かつ一貫した構成、機能、およびパフォーマンスを検証できます5。また、非運用環境でのテストにより、組織は自動化された情報セキュリティ管理策における問題やギャップを特定して解決し、他のシステムや管理策との互換性および相互運用性を評価することも可能になります6。セキュリティ管理レビューの実施、セキュリティ監査レポートの確認、およびリスク評価の実施は、自動情報セキュリティ管理の構成、機能、およびパフォーマンスに関する直接的かつタイムリーな情報を提供しないため、稼働前に自動情報セキュリティ管理の有効性を測定する最善の方法ではありません。セキュリティ管理レビューの実施は、組織のセキュリティ管理が最新で、関連性があり、効果的であることを確認して検証するプロセスです7。セキュリティ管理レビューは、セキュリティ管理の問題やギャップを特定して対処するのに役立ちますが、現実的な環境における自動情報セキュリティ管理の実際の動作と結果を示すものではありません。セキュリティ監査レポートの確認は、組織のセキュリティ管理の独立した調査と評価の調査結果と推奨事項を読んで分析するプロセスです8。
セキュリティ監査レポートは、セキュリティ管理の適切性と有効性に関する保証と助言を提供するのに役立ちますが、変化する環境における自動化された情報セキュリティ管理の現状と動的な状態、およびパフォーマンスを示すものではありません。リスク評価の実施は、リスクと、それらが組織の目標とパフォーマンスに及ぼす潜在的な影響を特定、分析、評価するプロセスです。リスク評価は、組織のセキュリティに影響を与える可能性のあるリスクを予測し、準備するのに役立ちますが、特定のシナリオにおける自動化された情報セキュリティ管理の実際の影響と結果を示すものではありません。参考文献 = 1: セキュリティ管理評価の自動化サポート
- NIST2: 自動セキュリティ制御評価: 自己認識が重要な場合3: テクノロジー制御の自動化: 効率の向上、コスト削減... - ISACA4: [非本番環境とは? | 定義と FAQ] 5: [非本番環境が必要な理由 - Plutora] 6: [自動セキュリティ制御のテスト - SANS Institute] 7: リスクと制御の評価に関する簡単なガイド | ACCA Global8: IT リスク リソース | ISACA : [リスクおよび情報システム制御学習マニュアル、第 2 章: IT リスク評価、セクション 2.1: リスクの特定、57 ～ 59 ページ]

リスク許容度とリスク選好度は、組織が目標達成のために受け入れるリスクの量と種類を表すものです。リスク許容度とは、組織がリスクに関する意思決定の結果に対して許容できる変動の許容レベルです。リスク選好度とは、組織がその活動において受け入れるリスクの大まかな量です。組織のリスク許容度とリスク選好度を確立する主な目的は、リスク管理活動と意思決定の指針と限界を示し、経営陣の意思決定を支援することです。リスク許容度とリスク選好度を確立することで、組織はリスクへのエクスポージャーを戦略目標と整合させ、リスクとリターンのトレードオフを最適化し、リスク文化とパフォーマンスを向上させることができます。参考文献：CRISCレビューマニュアル、第7版、61ページ。