เมื่อพบปัญหาเรื่องโอกาสและผลกระทบจากข้อเท็จจริงว่าทีมจัดลำดับภัยคุกคามจากความถี่เพียงอย่างเดียวโดยไม่ดูความเสียหายต่อบริการ ควรทำอะไรเป็นลำดับแรก

เฉลยอธิบาย

ID.RA-04 กำหนดให้ระบุและบันทึกผลกระทบกับโอกาสที่ภัยคุกคามจะใช้ช่องโหว่ ดังนั้นกรณีนี้ต้อง “ประเมินทั้งโอกาสที่ภัยคุกคามใช้ช่องโหว่และผลกระทบที่อาจเกิด” ตัวเลือกอื่นเป็นผลลัพธ์ในคนละหมวดหรือคนละช่วงของวงจร และไม่แก้ข้อบกพร่องตามโจทย์โดยตรง