ISO/IEC 27001:2022 規格によれば、組織は情報セキュリティ管理システム (ISMS) に影響を及ぼす変更を管理し、ISMS の適合性、妥当性、有効性を継続的に改善するためのプロセスを確立、実装、維持する必要があります (セクション 8.1.3 および 10.2)。この規格ではまた、組織は必要に応じて文書化された ISMS 情報を更新し、変更と改善プロセスの結果を反映させる必要があるとも規定されています (セクション 8.1.3.2 および 10.2.2)。したがって、文書化された情報の更新は、ISMS が組織とその利害関係者の現在および将来のニーズと期待に一致するようにすることで、ISMS の継続的な改善をサポートします。
参照：
ISO/IEC 27001:2022、情報セキュリティ、サイバーセキュリティ、プライバシー保護 - 情報セキュリティ管理システム - 要件1 ISO/IEC 27001 リード実装者情報キット ISO 27001 要件 10.22 の継続的改善

説明
権力/利害マトリックスは、ISO/IEC 27001:2022 に従って利害関係者を特定、分析、管理するために使用できるツールです。権力/利害マトリックスは、組織の情報セキュリティ目標に関連して各利害関係者の権力と利害のレベルをプロットする 2 次元の図です。
権力/利益マトリックスは、組織が利害関係者を優先順位付けし、その期待とニーズを理解し、適切なコミュニケーションとエンゲージメント戦略を開発するのに役立ちます。権力/利益マトリックスは、組織が利害関係者に関連する潜在的なリスクと機会を特定するのにも役立ちます。
参考資料: ISO/IEC 27001:2022、条項 4.2、PECB ISO/IEC 27001 リード実装者コース、モジュール 4、スライド 12。

説明
ISO/IEC 27001:2022 Lead Implementer によると、リスク保持は、組織が許容できないリスクに対処するために選択できる 4 つのリスク処理オプションの 1 つです。リスク保持とは、組織がリスクを受け入れ、その発生可能性や影響を軽減するための措置を講じないことを意味します。これは、対処するにはコストがかかりすぎるか非現実的であるか、発生可能性や影響が低いリスクに適用されます。したがって、リスク保持の例としては、いくつかの小さなバグがまだ修正されていないにもかかわらず、組織がソフトウェアをリリースすることを決定した場合が挙げられます。これは、組織がバグのあるソフトウェアをリリースするリスクを評価し、バグが重大ではないか、バグを修正するコストがメリットを上回るため、バグがあっても許容できると判断したことを意味します。
参考文献:
ISO/IEC 27001 : 2022 リードインプリメンター学習ガイドおよび文書、セクション 8.3.2 リスク処理 ISO/IEC 27001 : 2022 リードインプリメンター情報キット、14 ページ、リスク管理プロセス
3、ISO 27001: 主要なリスク処理オプションと管理の説明