リスク評価結果を上級管理職に報告することは、リスクコミュニケーションの重要な部分です。リスクコミュニケーションとは、リスクへのエクスポージャーとリスク管理活動に関する関連性の高い情報をステークホルダーと共有するプロセスです。リスク評価結果を上級管理職に報告する最も重要な利点は、リスクを認識した意思決定を促進することです。リスク認識に基づく意思決定とは、リスク情報と分析を組織の戦略および業務上の意思決定に組み込むプロセスです。リスク評価結果を報告することで、リスク担当者は上級管理職に対し、現在のリスクと潜在的なリスク、それらの発生可能性と影響、それらの相互関係と依存関係、そしてそれらのリスク選好度と許容度との整合性に関する洞察と理解を提供できます。これは、上級管理職がリスクの優先順位付け、リソースの割り当て、リスク対応の選択、リスクパフォーマンスの監視、およびリスク結果の評価を行うのに役立ちます。参考文献 = CRISCレビューマニュアル、第7版、105ページ。

説明/参照:
Explanation:
整合性の損失とは、次の種類の損失を指します。
電子メールメッセージが送信中に変更される ウイルスがファイルに感染する

誰かがWebサイトに不正な変更を加える

誤った回答:
A: 会社の秘密の計算式やパスワードを誰かが見てしまうと、機密性が失われてしまいます。

インターネットに接続されたアプリケーションに対して定期的に侵入テストを実施する主な理由は、システムの脆弱性を特定することです。これは、アプリケーションとそれらが処理するデータのセキュリティと回復力を向上させるのに役立ちます。侵入テストとは、アプリケーションまたはシステムのセキュリティ上の弱点やギャップを悪用することを目的とした、サイバー攻撃の模擬テストです。侵入テストでは、自動スキャンやコードレビューなどの他の方法では検出できない可能性のある脆弱性を明らかにすることができます。また、脆弱性の影響と深刻度、そして既存の制御と防御の有効性を測定することもできます。さらに、脆弱性を修正し、将来の攻撃を防ぐための推奨事項とソリューションを提供することもできます。インターネットに接続されたアプリケーションとは、Webアプリケーション、API、クラウドサービス、VPNゲートウェイなど、インターネットからアクセス可能なプログラムやサービスです。インターネットに接続されたアプリケーションは、サービス拒否攻撃、SQLインジェクション攻撃、クロスサイトスクリプティング攻撃、クレデンシャルスタッフィング攻撃など、さまざまなサイバー脅威にさらされています。これらの脅威は、アプリケーションとその処理対象のデータの機密性、整合性、可用性を損なう可能性があります。そのため、インターネットに接続するアプリケーションに対して定期的な侵入テストを実施することで、システムの脆弱性を特定し、アプリケーションとデータをサイバー攻撃から保護することが不可欠です。参考文献 = Webアプリケーションの侵入テスト：実践ガイド - BrightSecurity1、Webアプリケーションの侵入テストの基礎 | Turing2、定期的な侵入テスト
最適な侵入テストの頻度はどれくらいでしょうか...

取締役会がリスクプロファイルを定期的に見直す主な目的は、リスク戦略の適切性を確保することです。リスク戦略は、企業のリスク選好度、リスク許容度、そして目標を定義し、リスク管理プロセスと活動の指針となるからです。取締役会は、リスクプロファイルが現在の内部および外部環境を反映し、企業の戦略と目標と整合していることを確認するために、リスクプロファイルを見直す必要があります。その他の選択肢は、以下の理由により、主な目的ではありません。
* オプションB：KRIとKPIが整合していることはリスク戦略の望ましい成果ですが、取締役会がリスクプロファイルをレビューする際の主目的ではありません。KRIとKPIは、それぞれ企業のリスクエクスポージャーとパフォーマンスを測定・監視する指標であり、リスク戦略および目標と整合している必要があります。
* オプションC：統制の適切なパフォーマンスはリスク対応の結果であり、取締役会のリスクプロファイルレビューの主目的ではありません。統制の適切なパフォーマンスとは、リスク軽減における統制の有効性と効率性の度合いであり、リスク管理部門と内部監査部門によって評価・報告されるべきです。
* オプションD：リスクモニタリングプロセスが確立されていることはリスクプロファイルの前提条件ですが、取締役会がリスクプロファイルをレビューする主な目的ではありません。リスクモニタリングプロセスは、リスクの状況とパフォーマンスを追跡・報告するプロセスであり、リスク管理部門とビジネスプロセスオーナーによって実装・実行される必要があります。参考文献：リスクおよび情報システムコントロール学習マニュアル、第7版、ISACA、2020年、119ページ。