セクション: 巻C
Explanation:
リスクは企業から完全に排除することはできません。組織が許容できるレベルまで低減することしかできません。したがって、リスク管理プログラムはリスク低減という目的を達成するために設計されます。
誤った回答:
B: 企業のリスク選好度に応じて、利益が費用を上回るまでリスク軽減を追求するかどうかは企業によって異なる。したがって、これはリスク管理プログラム設計の主目的ではない。
C: リスクを測定できないほど小さいレベルまで低減することは現実的ではなく、多くの場合コストがかかりすぎます。
D: 特定のリターンに対してリスクを減らすと、考慮すべきリスクの質的側面が無視されます。

競合他社に影響を与えたインシデントを知った後、リスク管理担当者が次に行うべきステップは、リスクシナリオを作成することです。これは、競合他社と同様に組織に影響を及ぼす可能性のあるリスクの潜在的な発生源、事象、影響、対応策を特定・記述し、リスクの発生確率と規模を評価することを伴うためです。インシデント対応計画の発動、代替統制の導入、リスク登録簿の更新は、リスクの特定と評価というよりも、それぞれリスクへの対応、軽減、報告に関連しているため、次のステップではありません。参考文献：CRISCレビューマニュアル第7版、100ページ。

サイバーセキュリティインシデント対応手順とは、組織がサイバーセキュリティ攻撃に対応し、復旧するために講じる計画と行動のことです。これには、攻撃の発信源と範囲の特定、脅威の封じ込めと根絶、通常業務の復旧、根本原因と教訓の分析が含まれます。サイバーセキュリティ攻撃の成功確率が高まり、潜在的な損失が組織のリスク許容度を超える可能性がある場合、サイバーセキュリティインシデント対応手順を見直すことは、攻撃の影響と期間を最小限に抑え、組織のレジリエンスとセキュリティ体制を向上させるための準備を整える上で最も効果的な行動方針です。