IT部門がリスク管理を決定した場合にリスク登録簿に反映されるべきリスク対応は、
データセンターを海外にアウトソーシングするのではなく、社内に維持することはリスク回避につながります。リスク
回避とは、リスクの原因を排除したり、計画や行動を変更したりすることを含むリスク対応戦略である。
活動の範囲を限定することで、リスクを完全に回避することができます。リスク回避は、リスクへの露出を減らし、
リスク発生の可能性を排除することで、影響をゼロにすることができます。この場合、IT部門は
データセンターを海外にアウトソーシングするリスクがあり、さまざまな脅威が伴う可能性がある。
データセキュリティ、法令遵守、サービス品質、コミュニケーション、
文化的な問題。データセンターを社内に維持することで、IT部門はデータの管理と所有権を維持します。
データセンターの運営を簡素化し、アウトソーシングに伴う潜在的なリスクを排除します。リスク軽減、リスク
リスク受容とリスク移転は、実際のリスクを反映していないため、正しいリスク対応ではない。
IT部門の決定と行動はリスク源を排除するものではなく、
発生。参考文献 = CRISCレビューマニュアル、第6版、ISACA、2015年、51ページ。

セクション: 巻D

新興技術のリスク評価において最も重要なのは、その技術に関連するリスクの影響度と発生可能性の評価です。影響度と発生可能性の評価は、企業の目標達成に影響を与える可能性のあるリスク事象の潜在的な結果と発生確率の尺度です。影響度と発生可能性の評価は、リスクエクスポージャーのレベルと性質を評価し、さらなる分析と対応のためのリスクの優先順位付けに役立ちます。また、影響度と発生可能性の評価は、企業のリスクプロファイルとリスク許容度を伝え、リスクに基づく意思決定を支援するのにも役立ちます。リスク対応計画、リスクと統制の所有権、および主要な統制は、リスク評価プロセスの出力または結果であり、リスク評価プロセスの入力または構成要素ではないため、影響度と発生可能性の評価ほど重要ではありません。参考文献 = CRISCレビューマニュアル、第6版、ISACA、2015年、49ページ。

決定を下す前に、本番データをテストに使用するリスクを評価することが最善の推奨事項です。
リスク専門家にとって、証明に実際のデータを使用することの利点と欠点のバランスをとるのに役立つため
セキュリティツールの概念実証（POC）。POCとは、セキュリティツールを実際にテストするためのソリューションや製品のデモンストレーションまたはトライアルのことです。
実現可能性、機能性、価値を検証します。セキュリティツールとは、次のようなことを支援するソフトウェアまたはハードウェアデバイスです。
ITシステムやネットワークを脅威や攻撃から保護します。本番環境のデータをテスト目的で使用することは、
セキュリティツールが運用時に処理する実際のデータを反映しているため、最良の結果が得られます。
環境に依存します。しかし、本番環境のデータをテストに使用すると、データ漏洩、データ
不正行為、データプライバシーの侵害、規制違反などのリスクがあります。したがって、使用のリスクを評価することは
決定を下す前にテスト用の本番データを使用することが最善の推奨事項です。
潜在的なリスクと問題を評価し、適切な管理策や緩和要因を決定する。
それらを減らすか、排除する。本番環境データを使用するリスクを受け入れ、同業他社の製品とベンチマークし、
組織が行っていること、要求を拒否することなどはすべて可能な推奨事項ですが、最善のものではありません
リスク評価プロセスと使用に伴うトレードオフを考慮していないため、推奨は適切ではない。
テスト用の生産データ。参考文献 = リスクおよび情報システム管理研究マニュアル、第5章、
セクション5.4.1、208ページ

リスク文化とは、組織におけるリスクに対する価値観、信念、そして姿勢を包含するものです。リスクアペタイトの定義と伝達方法に大きな影響を与えます。組織のリスク文化を理解することで、確立されたリスクアペタイトがステークホルダーの期待と整合し、効果的なリスク管理の実践を支えることが確実になります。
参考資料:ISACA CRISC レビューマニュアル、第 7 版、第 1 章:ガバナンス、セクション:リスク ガバナンス。