説明/参照:
Explanation:
デイビッドはリスクを避けるために電子商取引に従事しなかったため、リスク回避戦略に従っています。

IT リスク プロファイルの変更を伝える際に含めるべき最も効果的な情報は、統制環境の現状と望ましい状態とのギャップです。これは、ステークホルダーに対し、変更の範囲と影響、そしてそれらに対処するために必要な行動とリソースを示すためです。統制環境とは、IT リスクが効果的かつ効率的に特定、評価、対処されることを合理的に保証する一連のポリシー、プロセス、およびシステムのことです。統制環境の現状は、既存の統制のレベルとパフォーマンス、そして統制適用後に残る残留リスクを反映しています。統制環境の望ましい状態は、目標とする統制のレベルとパフォーマンス、そして組織のリスク選好度とリスク許容度を反映しています。統制環境の現状と望ましい状態とのギャップは、IT リスク管理プロセスの改善または強化の領域、そしてリスク対応の優先順位と戦略を示しています。その他の情報は、有用または関連性の高い情報となる場合もありますが、IT リスク プロファイルの変更を伝える際に含めるべき最適な情報ではありません。同業他社に影響を与えた最近のインシデントのリストは、ITリスクプロファイルの背景情報や比較情報を提供するのに役立ちますが、ITリスクレベルや統制環境の変化を測定または説明することはできません。外部からの攻撃の結果と関連する代替統制は、ITシステムとネットワークのセキュリティとレジリエンスを実証できますが、ITリスクプロファイルや統制環境の全範囲を網羅しているわけではありません。業界における主要なITリスク管理プラクティスのレビューは、ITリスク管理プロセスに関する洞察とベンチマークを提供できますが、組織や利害関係者の具体的な状況やニーズを反映しているわけではありません。参考文献：『リスクおよび情報システム統制研究マニュアル』第5章「リスクと統制の監視と報告」、181ページ。

攻撃による感染の可能性を減らすための最初のステップは、攻撃に対して脆弱なシステムを特定することです。
攻撃によって悪用される可能性のあるものを特定します。これにより、組織はリスクの範囲と深刻度を評価することができます。
すぐに保護が必要なシステムを優先します。攻撃を受けやすいシステムを特定し、
攻撃によって悪用される可能性のある情報は、組織が適切なパッチ、アップデート、または
攻撃を防止または軽減するための構成、および既に攻撃を受けているシステムを分離または切断するための構成
感染または侵害されている。参考文献 = リスクおよび情報システム管理研究マニュアル、第7版、
第2章、セクション2.1.2、ページ60123

サプライヤーにプライバシー法の遵守を契約で義務付けることは、個人情報をサプライヤーに移転する際にプライバシー法違反のリスクを軽減する最善の方法です。なぜなら、これにより、サプライヤーは個人情報のプライバシーとセキュリティを保護する適用法および規制を遵守する法的義務を負うことになるからです。また、プライバシー侵害が発生した場合のサプライヤーの明確な説明責任と賠償責任が明確になり、個人情報に関する両当事者の権利と義務が明確になります。その他の選択肢は、プライバシー法違反のリスクを軽減する最善の方法ではありませんが、プライバシー侵害の可能性や影響を軽減するのに役立つ可能性があります。サプライヤーへの転送中のデータの暗号化、サプライヤーの管理環境の独立監査の義務付け、データ転送中のブロックチェーンの利用などは、個人情報の機密性、完全性、可用性を保護することを目的とした技術的または保証的な管理策の例ですが、プライバシー法の法的または契約上の側面には対処していません。参考資料 = CRISC: Certified in Risk & Information Systems Control サンプル問題