リスクアセスメントが更新されていない
認証取得時に作成したまま数年間更新されていないケース。またはそのアセスメントが形骸化している。
例えば、脅威の数値は発生の頻度を示すことが多いですが、何に対しての発生頻度わからない。もう少し具体的に言うと、名刺という情報資産に対する脅威は紙の場合は「持出し」「搾取」などとなるはずです。その発生頻度が脅威となります。しかし、「発生の頻度は10年に一度くらいで被害は少ない」という発生頻度のみを脅威としている。