2026年02月10日に更新された最新のリアルCRISC日本語問題集でCRISC日本語試験問題 [Q588-Q603]

リスクとセキュリティのメトリクス レポートの有効性を確保するために最も重要な要素は、組織レポート プロセスです。組織レポート プロセスは、リスクとセキュリティのメトリクス レポートの役割、責任、頻度、形式、配布を定義する一連の手順です。組織レポート プロセスは、リスクとセキュリティのメトリクスが関連性があり、正確で、一貫性があり、タイムリーであること、また、意思決定とパフォーマンスの改善に役立つ情報を提供していることを保証するのに役立ちます。組織レポート プロセスは、リスクとセキュリティのメトリクス レポートを企業の目標、戦略、ポリシーと一致させ、リスクとセキュリティのステータスと問題を適切な関係者に伝えるのにも役立ちます。参考文献 = リスクと情報システム管理研究マニュアル、第 7 版、第 5 章、セクション 5.3.2、ページ 2421

A baseline assessment is the first step in assessing the maturity of an organization’s internal control environment. A baseline assessment is a comprehensive evaluation of the current state of the internal control structure, processes, and activities across the organization. A baseline assessment helps to identify the strengths and weaknesses of the existing internal controls, as well as the gaps and opportunities for improvement. A baseline assessment also provides a reference point for measuring the progress and effectiveness of the internal control improvement initiatives. The other options are not the first steps in assessing the maturity of an internal control environment, although they may be part of the subsequent steps.
Validating control process execution is a technique to verify that the internal control activities are performed as designed and intended. Determining if controls are effective is a process to evaluate the adequacy and efficiency of the internal controls in achieving the desired outcomes and mitigating the risks. Identifying key process owners is a task to assign the roles and responsibilities for the internal control design, implementation, and monitoring to the appropriate individuals or groups within theorganization. References = CRISC Review Manual, pages 153-1541; CRISC Review Questions, Answers & Explanations Manual, page 742

The best method to identify unnecessary controls is reviewing system functionalities associated with business processes, because this can help to determine whether the controls are relevant, effective, and efficient for the current business needs and objectives. System functionalities are the capabilities and features of IT systems that support the execution and performance of business processes. Business processes are the set of interrelated activities that transform inputs into outputs to deliver value to customers or stakeholders. By reviewing system functionalities associated with business processes, an organization can assess whether the controls are aligned with the process requirements, expectations, and outcomes, and whether they add value or create waste. The review can also identify any gaps, overlaps, redundancies, or conflicts among the controls, and any changes or improvements that are needed to optimize the controls. The other options are less effective methods to identify unnecessary controls. Evaluating the impact of removing existing controls can help to measure the benefits and costs of the controls, but it does not address the root causes or sources of the unnecessary controls. Evaluating existing controls against audit requirements can help to ensure compliance and assurance, but it does not consider the business context or purpose of the controls. Monitoring existing key risk indicators (KRIs) can help to measure the level and impact of risks, but it does not evaluate the suitability oradequacy of the controls. References = Surveying Staff to Identify Unnecessary Internal Controls
– Methodology and Results

Check totals are IT controls that verify the accuracy and completeness of data by comparing the sum or count of data records or data fields with a predetermined or expected value. Check totals can help detect and prevent errors, omissions, or alterations in data entry, processing, or transmission. Check totals can also help identify and correct data discrepancies or anomalies. Therefore, check totals are the most useful IT controls in mitigating the risk associated with inaccurate data. The other options are not the best answers because they do not directly address the risk of inaccurate data. Encrypted storage of data is an IT control that protects the confidentiality and integrity of data by preventing unauthorized access or modification. However, encryption does not ensure the accuracy or validity of the data itself. Links to source data are IT controls that provide traceability and transparency of data by allowing users to access or view the original data from which the derived or aggregated data is obtained. However, links to source data do not verify or correct the data quality or consistency. Audit trails for updates and deletions are IT controls that record thehistory and changes of data by capturing the date, time, user, and action performed on the data. Audit trails can help monitor and review the data activities and transactions, but they do not prevent or detect the data errors or inaccuracies. References = CRISC Review Manual, pages 164-1651; CRISC Review Questions, Answers & Explanations Manual, page 722

A risk treatment plan is a document that describes the actions and resources required to implement the chosen risk response for a specific risk scenario. A risk response can be to accept, avoid, transfer, or mitigate the risk.
The effectiveness of a risk treatment plan can be measured by how well it reduces the risk exposure and achieves the desired outcomes. The best evidence that a selected risk treatment plan is effective is to evaluate the residual risk level, which is the remaining risk after the risk treatment plan has been implemented. The residual risk level should be within the organization’s risk appetite and tolerance, and should reflect the actual risk reduction and value creation of the risk treatment plan. Evaluating the residual risk level can also help to identify any gaps or issues that need to be addressed, and to monitor and report on the risk performance and improvement. References = Risk and Information Systems Control Study Manual, Chapter 3, Section 3.2.2, p.
108-109

リスク レジスタ変更ログを確認することは、リスク レジスタに加えられた変更と更新を追跡および監視し、リスク対応アクティビティが実装されて終了したことを確認するのに役立つため、管理者がリスク対応アクティビティが完了したかどうかを検証するための最良の方法です。リスク レジスタは、リスク管理プロセス4 の一環としてリスクを取得、識別、評価、追跡するドキュメントです。リスク レジスタ変更ログは、リスク レジスタに加えられた各変更または更新の日付、説明、および理由を文書化したレコードです。リスク対応アクティビティは、回避、転送、軽減、受け入れなど、特定のリスクに対して選択されたリスク対応戦略​​を実装するために実行されるアクションまたはタスクです。
リスク レジスタの変更ログを確認することが最善の方法です。リスク レジスタが正確で最新であること、およびリスク対応活動が完了して報告されていることを確認するのに役立ちます。リスク受け入れの証拠、制御有効性テストの結果、および制御設計ドキュメントを確認することは、リスク対応活動が完了したかどうかを検証する方法として考えられますが、すべてのリスク対応活動をカバーしていない可能性があり、リスク レジスタの変更や更新を反映していない可能性があるため、最善の方法ではありません。
参考文献 = リスクおよび情報システム管理研究マニュアル、第 3 章、セクション 3.4.1、101 ページ

ポリシーと標準は、情報セキュリティとリスク管理に関する組織の期待と要件を定義する主要な文書です。これらは、制御、手順、役割、および責任を確立するための基礎を提供します。データ侵害の影響を受ける個人への通知を要求する法律の変更に伴い、ポリシーと標準を更新する必要があります。これは、新しい法的義務への準拠を確実にし、組織のリスク選好と許容度に合わせるためです。ポリシーと標準を更新すると、関連する利害関係者に変更を伝え、制御の実装と監視に関するガイダンスを提供するのにも役立ちます。参考文献 = リスクおよび情報システム制御研究マニュアル、第 1 章、セクション 1.3.2、p. 28-29

ISACA リスクおよび情報システム管理の学習ガイドとハンドブックによると、IT 部門のコントロール オーナーは、特定の機能の再編とアウトソーシングの後も、リスク対応が依然としてリスクに効果的に対処しているかどうかを判断する必要があります。これは、再編とアウトソーシングによって、IT 部門のリスク プロファイル、コントロール環境、およびコントロール活動が変化する可能性があるためです。コントロール オーナーは、既存のリスク対応を見直し、アウトソーシングされた機能に関連するリスクを軽減する上で、それらが依然として適切、十分、かつ効率的であるかどうかを評価する必要があります。コントロール オーナーは、サービス プロバイダーのパフォーマンスとコンプライアンスを監視し、契約上の義務とサービス レベル契約が満たされていることを確認する必要があります12
1: ISACA リスクおよび情報システム管理学習ガイド、第 4 版、33 ページ 2: ISACA リスクおよび情報システム管理ハンドブック、第 1 版、25 ページ

Comprehensive and Detailed Explanation (aligned to ISACA CRISC guidance) Threat-based risk event modeling often involves significant expert judgment: choosing plausible threats, estimating their capability, attack paths, and motivations, and modeling multi-step attack scenarios. According to CRISC, such modeling demands strong justification and documented rationale because assumptions and inputs may be challenged by stakeholders and auditors. Semi-quantitative approaches and ALE calculations also require explanation, but they are generally based on standardized scales, historical data, or accepted formulas. MTBF is an engineering reliability metric, usually based on vendor data or operational history, requiring limited justification from a risk perspective. Threat-based modeling, however, drives critical decisions about controls and investment, and because it can be sensitive to subjective inputs, risk practitioners must carefully justify scenario selection, likelihood estimates, and impact assumptions to maintain credibility and enable informed governance decisions.
Reference: CRISC Review Manual – IT Risk Assessment (risk analysis methods, scenario and threat-based modeling).

According to the CRISC Review Manual (Digital Version), the primary goal of a risk awareness program is to reduce the risk to an acceptable level by increasing the knowledge and understanding of the risk among the stakeholders. A risk awareness program should:
Educate the stakeholders about the sources, types and impacts of IT-related risks Explain the roles and responsibilities of the stakeholders in the risk management process Promote a risk-aware culture that supports the risk appetite and risk tolerance of the organization Provide guidance and tools for identifying, assessing, responding and monitoring IT-related risks Encourage the reporting and escalation of risk issues and incidents Reinforce the benefits and value of effective risk management References = CRISC Review Manual (Digital Version), Chapter 4: IT Risk Monitoring and Reporting, Section 4.2: IT Risk Reporting, pp. 224-2251

Recovery time objectives (RTOs) are the maximum acceptable time frames for restoring the critical functions and processes after a disruption1. RTOs are derived from the business impact analysis (BIA) andreflect the organization’s risk appetite, which is the amount of risk that an organization is willing to accept to achieve its objectives2. Risk tolerance is the level of risk a company is willing to tolerate, and it is affected by a number of factors, including how much uncertainty or financial loss can be tolerated and where those losses will impact operations3. Risk tolerance is used to measure if the risk exposure is within the risk appetite and to implement controls to reduce the residual risk to an acceptable level2. If the majority of core IT application RTOs have exceeded the maximum time defined by the business application owners, it means that the organization is not meeting its risk appetite and is exposed to more risk than it can accept. Therefore, the most likely change as a result is to adjust the risk tolerance to reflect the current reality and to take actions to improve the recovery capabilities and reduce the risk exposure4. Risk forecasting is the process of estimating the potential outcomes and impacts of future events that may affect the organization’s objectives5. Risk forecasting may change as a result of the RTOs exceeding the maximum time, but it is not the most likely change, as it does not directly address the gap between the risk appetite and the risk exposure. Risk likelihood is the probability of a risk event occurring5. Risk likelihood may change as a result of the RTOs exceeding the maximum time, but it is not the most likely change, as it does not directly measure the impact of the risk event on the organization’s objectives. Risk appetite is the amount of risk that an organization is willing to accept to achieve its objectives2. Risk appetite may change as a result of the RTOs exceeding the maximum time, but it is not the most likely change, as it is a strategic decision that reflects the organization’s vision and mission, and not a tactical response to a specific risk event. References = Risk and Information Systems Control Study Manual, Chapter 5: Risk Response and Mitigation, Section 5.3: Business Continuity Planning, pp. 227-238.

情報資産の分類とは、情報資産の価値、重要性、および組織への影響に基づいて、情報資産に機密性と重大性のレベルを割り当てるプロセスです。情報資産を分類する主な理由は、その機密性と重大性を判断することです。これは、情報の機密性、独自性、または機密性、および業務運営にとって情報の重要性、緊急性、または時間的制約がどの程度であるかの尺度です。情報資産の機密性と重大性を判断することで、組織は情報資産の保護と回復を優先し、適切なセキュリティ制御と保護策を実装し、規制および契約上の要件に準拠し、情報のライフサイクルと廃棄を管理できます。参考文献 = CRISC レビュー マニュアル、第 7 版、74 ページ。

ISACA リスク IT フレームワークによると、効果的なリスク管理の重要な原則の 1 つは、トップの姿勢と説明責任を確立することです。つまり、上級管理職は倫理的な行動と文化の模範を示し、倫理とコンプライアンスの重要性を組織全体に伝える必要があります。上級管理職は、リスク管理プロセスが組織の使命、ビジョン、価値観、行動規範と一致していること、倫理的リスクが適切に特定、評価、処理されていることを確認する必要があります。上級管理職は、日常の意思決定で倫理を示すことで、すべての利害関係者の態度、行動、行動に影響を与えることができるため、リスク管理プロセス内の倫理コンプライアンスに最大のプラスの影響を与えることができます。
参考文献:
*ISACA、リスク IT フレームワーク、第 2 版、2019 年、p. 741
*ISACA、リスク管理における倫理の役割2

リスク担当者が、リスク処理の所有者が IT リスク アクション プランで指定されたものとは異なるコントロールを実装したことを知ったときに最初に行うべきことは、新しいコントロールに関連付けられたリスク レベルを再評価することです。これは、新しいコントロールがリスクの発生可能性と影響に異なる影響を与え、新しいリスクをもたらしたり、既存のリスクを変更したりする可能性があるためです。リスク担当者は、新しいコントロールの妥当性と有効性を評価し、残存リスクを組織のリスク選好度およびリスク許容度と比較する必要があります。また、リスク担当者は、リスク再評価の結果を関連する利害関係者に伝え、それに応じてリスク レジスターとアクション プランを更新する必要があります。その他のオプションは、後の段階で必要または適切になる場合がありますが、リスク担当者が最初に行うべきことではありません。コントロール所有者の承認を求めることは重要ですが、リスク レベルの潜在的な変更やリスク管理目標との整合性には対処していません。リスク レジスターのアクション プランを更新することは良い方法ですが、リスク再評価の後で、リスク所有者の同意を得て行う必要があります。制御に確立されたテスト方法があることを検証することは、制御保証プロセスの一部ですが、リスク レベルやリスク対応の有効性に関する情報は提供されません。参考文献 = リスクおよび情報システム制御研究マニュアル、第 4 章: リスク対応、151 ページ。

The primary reason for periodic penetration testing of Internet-facing applications is to identify vulnerabilities in the system, because this will help to improve the security and resilience of the applications and the data they process. A penetration test is a simulated cyberattack that aims to exploit the weaknesses and gaps in the security of an application or a system. A penetration test can reveal the vulnerabilities that may not be detected by other methods, such as automated scanning or code review. A penetration test can also measure the impact and severity of the vulnerabilities, as well as the effectiveness of the existing controls and defenses. A penetration test can also provide recommendations and solutions to remediate the vulnerabilities and prevent future attacks. Internet-facing applications are programs and services that are accessible from the internet, such as web applications, APIs, cloud services, or VPN gateways. Internet-facing applications are exposed to a variety of cyber threats, such as denial-of-service attacks, SQL injection attacks, cross-site scripting attacks, or credential stuffing attacks. These threats can compromise the confidentiality, integrity, and availability of the applications and the data they handle. Therefore, periodic penetration testing of Internet- facing applications is essential to identify vulnerabilities in the system and to protect the applications and the data from cyberattacks. References = Web Application Penetration Testing: A Practical Guide – BrightSecurity1, The Basics of Web Application Penetration Testing | Turing2, Periodic Penetration Testing:
What is the best pentesting frequency …