シナリオ 2: Travivve は 100 か国以上で事業を展開する旅行代理店です。米国サンフランシスコに本社を置くこの代理店は、パーソナライズされたバケーション パッケージと旅行サービスで知られています。Travivve は、顧客のニーズを満たす信頼性の高いサービスの提供を目指しています。情報セキュリティが評判に与える影響を考慮して、Travivve は ISO/IEC 27001 に基づく情報セキュリティ管理システム (ISMS) を導入することを決定しました。さらに、情報セキュリティ リスク管理プログラムを確立して導入することを決定しました。Travivve 内の特定の部門の優先度に基づいて、経営陣は当初、リスク管理プロセスを営業管理部門のみに適用することを決定しました。このプロセスは、新しいテクノロジーを導入する場合にのみ他の部門に適用できます。
Travivve の経営陣は、リスク管理プログラムが業界のベスト プラクティスに基づいて確立されていることを確認したいと考えていました。そのため、その確立と実装を担当する 3 人のメンバーからなるチームを編成しました。チーム メンバーの 1 人は、チームを監督し、すべてのリスク管理活動を計画する Travivve のリスク マネージャーでした。さらに、リスク マネージャーは、プログラムを監視し、監視結果を経営陣に報告する責任も負っていました。
当初、チームは Travivve の内部および外部の状況を分析することにしました。組織とその状況を理解するプロセスの一環として、チームは主要なプロセスと活動を特定しました。次に、チームは関係者とその基本要件を特定し、これらの要件への準拠状況を判定しました。さらに、チームはリスク管理プロセスの定義済み範囲に適用されるすべての参照文書を特定しました。これには主に ISO/IEC 27001 の付録 A と Travivve によって確立された内部セキュリティ ルールが含まれていました。最後に、チームは両方の参照文書を分析し、それらの要件へのいくつかの非準拠を正当化しました。
リスク マネージャーは、会社が他のリスクを管理するために使用している他のアプローチと一致する情報セキュリティ リスク管理方法を選択しました。チームはまた、以前に確立されたコミュニケーション メカニズムを通じて、すべての関係者にリスク管理プロセスを伝えました。さらに、リスク管理に関する各関係者の役割と責任について、すべての関係者に確実に通知しました。Travivve は、経営陣によると、このプロセスには関係者の積極的な参加が必要であるため、関係者をリスク管理活動に参加させることも決定しました。
最後に、Travivve のリスク管理チームは、初期の情報セキュリティ リスク評価プロセスを実施することを決定しました。そのため、チームは結果基準と可能性基準を含む情報セキュリティ リスク評価を実行するための基準を確立しました。
上記のシナリオに基づいて、次の質問に答えてください。
Travivve は、当初はリスク管理プロセスを営業管理部門のみに適用することを決定しました。これは受け入れられますか?

シナリオ 5: Detika は、米国ペンシルバニア州にある私立の心臓病クリニックです。Detika は、心臓病の治療において最も先進的な医療システムの 1 つを備えています。このクリニックでは、心臓病を早期に検出する高度な装置を使用しています。2010 年以降、Detika の患者の医療情報は、組織のデジタル システムに保存されています。電子健康記録 (EHR) には、患者の診断、治療計画、検査結果などが含まれます。
患者やその他の医療データをデジタルで保存し、それにアクセスすることは、Detika にとって非常に大きなリスクを伴うステップでした。システムに保存されている情報の機密性を考慮し、Detika は定期的にリスク評価を実施して、すべての情報セキュリティ リスクが特定され、管理されていることを確認しています。先月、Detika は EHR システムに重点を置いたリスク評価を実施しました。リスクの特定中に、IT チームは一部の従業員がオペレーティング システムを定期的に更新していないことを発見しました。これは、データ漏洩やソフトウェアの互換性の喪失などの大きな問題を引き起こす可能性があります。さらに、IT チームはソフトウェアをテストし、使用されているソフトウェア モジュールの 1 つに欠陥を検出しました。両方の問題は経営陣に報告され、特定されたリスクに対処するための適切な制御を実施することが決定されました。彼らは、システム更新の重要性を認識させるために、すべての従業員を対象としたトレーニング セッションを開催することを決定しました。さらに、IT 部門のマネージャーが、ソフトウェアが定期的にテストされていることを確認する責任者に任命されました。
リスク評価中に特定されたもう 1 つのリスクは、潜在的なランサムウェア攻撃のリスクでした。すべてのデータが毎日バックアップされていたため、このリスクは低いと定義されました。IT チームは、ランサムウェア攻撃の実際のリスクを受け入れることにし、追加の対策は必要ないという結論に達しました。この決定はリスク処理計画に文書化され、リスク所有者に伝えられました。リスク所有者はリスク処理計画を承認し、リスク評価結果を文書化しました。
その後、Detika は新しいコントロールの実装を開始しました。さらに、IT 部門の従業員の 1 人が、実装プロセスを監視し、セキュリティ コントロールの有効性を確保する責任を負いました。一方、IT チームは、新しいコントロールを効果的に実装するために必要なリソースを割り当てる責任を負いました。
特定されたリスクのうちどれを最初に処理すべきかを Detika はどのように定義すればよいでしょうか? シナリオ 5 を参照してください。

シナリオ 3: Printary は、デジタル印刷サービスを提供するアメリカの会社です。コスト効率に優れたクリエイティブな製品を生み出している同社は、30 年以上にわたって印刷業界に携わってきました。3 年前、同社はオンラインでの運営を開始し、顧客にさらなる柔軟性を提供しました。Web サイトを通じて、顧客は Printary が提供するすべてのサービスに関する情報を見つけ、パーソナライズされた製品を注文できます。ただし、オンラインでの運営によりサイバー脅威のリスクが高まり、結果として同社のビジネス機能に影響が出ました。そのため、オンライン ビジネスを立ち上げるという決定とともに、同社は情報セキュリティ リスクの管理に重点を置きました。同社のリスク管理プログラムは、ISO/IEC 27005 ガイドラインと業界のベスト プラクティスに基づいて確立されました。
昨年、同社は顧客にさらなる柔軟性と透明性を提供するために、自社のウェブサイトにオンライン決済システムを統合することを検討しました。Printary は利用可能なさまざまなソリューションを分析し、どの企業でも自社のウェブサイトで簡単に支払いを回収できる決済処理ソリューションである Pay0 を選択しました。決定を下す前に、Printary はリスク評価を実施し、ソフトウェアに関連する情報セキュリティ リスクを特定して分析しました。リスク評価プロセスには、識別、分析、評価の 3 つのフェーズがありました。リスク識別中、同社は資産、脅威、脆弱性を検査しました。さらに、情報セキュリティ リスクを特定するために、Printary は情報セキュリティ目標の達成に悪影響を与える可能性のある特定されたイベントのリストを使用しました。リスク識別フェーズでは、オンライン決済システムに関連する 2 つの主な脅威、使用エラーとデータ破損が浮き彫りになりました。ギャップ分析を実施した後、同社は既存のセキュリティ制御でデータ破損の脅威を軽減するのに十分であると結論付けました。ただし、決済ソリューションのユーザー インターフェイスは複雑で、ユーザー エラーに関連するリスクが増大し、結果としてデータの整合性と機密性に影響を与える可能性があります。
その後、リスク識別結果が分析されました。同社は、識別されたリスクの性質を理解するためにリスク分析を実施しました。同社は、より詳細な情報が得られることから、定量的リスク分析方法を使用することを決定しました。選択されたリスク分析方法は、リスク評価基準 a と一致していました。まず、潜在的なインシデント シナリオのリストを使用して、その潜在的な影響を評価しました。さらに、インシデント シナリオの可能性が定義され、評価されました。最後に、リスク レベルは低いと定義されました。
最終的に、リスクのレベルがリスク評価および受け入れ基準と比較され、それに応じて優先順位が付けられました。
次の状況のうち、Printary がリスク シナリオの結果を特定したことを示すものはどれですか。シナリオ 3 を参照してください。

組織はリスクコミュニケーション計画を確立した後、何をすべきでしょうか?

シナリオ1
リスク評価プロセスは、ボントンのリスク マネージャーであるヘンリーが主導しました。ヘンリーが最初に行ったのは、会社の資産を特定することでした。その後、ヘンリーはさまざまな潜在的なインシデント シナリオを作成しました。当時、多数の組織がサイバー攻撃を受けていたため、アプリケーションの使用に関する主な懸念の 1 つは、サイバー攻撃者の標的になる可能性でした。ヘンリーは特定されたリスクを分析して評価し、会社がアプリケーションを使用する場合は新しい制御を実装する必要があると結論付けました。特に、アプリケーションの使用に関するトレーニングを従業員に提供し、顧客の個人データを保護することの重要性に関する意識向上セッションを実施する必要があると述べました。
最後に、ヘンリーはリスク評価の結果を経営陣に伝えました。経営陣は、特定されたリスクに対処した後にのみアプリケーションを使用することを決定しました。
上記のシナリオに基づいて、次の質問に答えてください。
Bontton は、情報セキュリティの脅威を体系的に管理するために、ISO/IEC 27005 に基づくリスク管理プロセスを確立しました。これは良い実践方法でしょうか?