顧客情報を難読化することで、機密情報を他人が理解できないようにし、データのプライバシーを確保します。
権限のない第三者に情報を開示することで、輸送中や処理中の漏洩リスクを軽減します。これはデータ
リスク管理フレームワークに基づく保護およびプライバシー規制、個人の保護に重点を置く
識別可能な情報。

* Web ベースのサービス プロバイダーとは、電子商取引、ソーシャル メディア、クラウド コンピューティングなどのオンライン サービスやアプリケーションを顧客やユーザーに提供する組織です。Web ベースのサービス プロバイダーは、Web サーバー、ネットワーク、システムの可用性、信頼性、セキュリティに依存して、サービスやアプリケーションを提供します。
* システム停止に対するリスク許容度が低いということは、組織がシステム停止の頻度やレベルを高く設定しないことを意味します。システム停止とは、Webサーバー、ネットワーク、またはシステムの通常の運用や機能の中断または混乱を指します。システム停止は、顧客の不満、収益の損失、評判の失墜、あるいはWebベースのサービスプロバイダーの法的責任につながる可能性があります。
* オンラインセキュリティの現在のリスクプロファイルとは、Webベースのサービスプロバイダーの目的と業務に影響を及ぼす可能性のあるオンラインセキュリティリスクの現在の状態または状況を指します。これには、オンラインセキュリティリスクの特定、分析、評価、そしてその重要性と緊急性に基づいた優先順位付けと対応が含まれます。
* 上級管理職にエスカレーションすべき最も関連性の高い観察事項は、分散型サービス拒否（DDoS）攻撃の増加です。DDoS攻撃は、大量または高頻度のリクエストやトラフィックによってWebサーバー、ネットワーク、またはシステムを圧倒または過負荷にし、正当なリクエストやトラフィックへの応答を妨害することを目的とした悪意のある攻撃です。DDoS攻撃の増加は、システム停止の可能性と影響度が高く、Webベースのサービスプロバイダーのオンラインセキュリティに対する脅威または脆弱性のレベルが高いことを示しています。この観察事項を上級管理職にエスカレーションすることで、上級管理職はリスクの重大性と緊急性を理解し、適切なリスク対応とリソースの配分を決定するのに役立ちます。
* その他のオプションは、システム停止の可能性や影響が大きいことを示すものではなく、上級管理職にとって関連性がなく、対処可能ではない可能性があるため、上級管理職にエスカレーションするのに最も関連性の高い観察結果ではありません。
* ウェブサイト フィッシング攻撃の試みの増加は、ウェブベース サービス プロバイダーのウェブサイトやメールを偽装して、ウェブベース サービス プロバイダーの顧客またはユーザーを欺き、ユーザー名、パスワード、クレジットカード番号などの個人情報や金融情報を提供させようとする悪意のある試みの増加を意味します。ウェブサイト フィッシング攻撃の試みの増加は、ウェブベース サービス プロバイダーのオンライン セキュリティに対する脅威または脆弱性のレベルが高いことを示していますが、フィッシング攻撃がウェブ サーバー、ネットワーク、またはシステムを侵害するために使用されない限り、システム停止を直接引き起こすことはありません。この観察結果を上級管理職にエスカレーションすることは、ウェブベース サービス プロバイダーのシステム停止に対するリスク許容度を反映していない可能性があり、上級管理職の関与や承認を必要としない可能性があるため、あまり適切ではない可能性があります。
* サービスレベル契約（SLA）の達成度の低下とは、Webベースのサービスプロバイダーが合意または期待されるサービスレベルを満たすか上回る程度または程度の低下を意味します。
* 顧客またはユーザーとの契約書または合意書に規定されている、サービスまたはアプリケーションの品質、パフォーマンス、または可用性に関する標準または基準。SLA達成度の低下は、顧客満足度、顧客維持率、または顧客ロイヤルティの低さ、そしてWebベース・サービス・プロバイダーの競争力または収益性の低下を示しています。この観察結果を上級管理職にエスカレーションすることは、必ずしも適切とは言えません。なぜなら、これはWebベース・サービス・プロバイダーのシステム停止に対するリスク許容度を反映していない可能性があり、上級管理職の関与や承認を必要としない可能性があるからです。
* ウェブセキュリティ脆弱性の修正件数の減少とは、ウェブベースサービスプロバイダーによって特定され、解決または軽減されたウェブセキュリティ脆弱性の数または割合の減少を意味します。ウェブセキュリティ脆弱性とは、ウェブサーバー、ネットワーク、またはシステムに存在する弱点または欠陥であり、悪意のある攻撃者が悪用してウェブベースサービスプロバイダーのオンラインセキュリティを侵害または損傷する可能性があります。ウェブセキュリティ脆弱性の修正件数の減少は、ウェブベースサービスプロバイダーのウェブセキュリティ管理またはプロセスの有効性または効率性が低いことを示しています。この観察結果を上級管理職にエスカレーションすることは、ウェブベースサービスプロバイダーのシステム停止に対するリスク許容度を反映していない可能性があり、上級管理職の関与や承認を必要としない可能性があるため、必ずしも適切ではない可能性があります。参考資料
* ISACA、CRISCレビューマニュアル、第7版、2022年、19-20、23-24、27-28、31-32、40-41、47-48ページ、
54-55、58-59、62-63
* ISACA、CRISCレビュー問題、解答、解説データベース、2022年、QID 161
* CRISC 練習クイズと試験準備

フィッシングシミュレーション演習は、ユーザーを教育し、実際のフィッシング攻撃に騙される可能性を減らすことを目的としています。これは、行動を変えることでインシデントの発生を未然に防ぐことを目的としており、予防的対策とみなされます。
参考:CRISCマニュアル - ドメイン3、スライド275-276