معلوماتی اثاثے اور رسک کی عملی مشق

کمپنی A صنعتی آلات فروخت کرنے والی کمپنی ہے جس کے 120 ملازمین ہیں۔ سیلز کے شعبے کے B کو شعبے کا انفارمیشن سیکیورٹی لیڈر مقرر کیا گیا ہے اور وہ پہلی بار سیلز کے شعبے کا معلوماتی اثاثوں کا رجسٹر بنا رہے ہیں۔ سیلز کے شعبے کے پاس کسٹمر مینجمنٹ سسٹم میں درج گاہکوں کے نمائندوں کی رابطہ معلومات، کاغذی معاہدے، تجارتی نمائشوں میں جمع کیے گئے وزٹنگ کارڈز، Excel میں قیمت کے تخمینوں (quotation) کی فائلیں، مستعار لیپ ٹاپ، اور سیلز میں مدد کے لیے ایک کلاؤڈ سروس ہے۔ جب B نے انفارمیشن سسٹمز کے شعبے سے مشورہ کیا تو انہیں بتایا گیا: «ہمیں معلوم ہے کہ سرورز پر کیا ہے، لیکن شعبہ جو معلومات خود اپنے پاس رکھتا ہے اس کا ہمیں علم نہیں۔» رجسٹر بنانے میں B کو سب سے پہلے کیا کرنا چاہیے؟

1. انفارمیشن سیکیورٹی کمیٹی کو رپورٹ کریں کہ رجسٹر نہیں بنا، اور کچھ بھی کرنے سے پہلے کمپنی گیر ہدایات کا انتظار کریں
2. انفارمیشن سسٹمز کے شعبے کے زیرِ انتظام سرورز کی فہرست کو جوں کا توں سیلز کے شعبے کے رجسٹر کے طور پر نقل کر لیں
3. صرف کسٹمر مینجمنٹ سسٹم میں موجود ڈیٹا کے لیے رازداری، سالمیت اور دستیابی کی درجہ بندی طے کریں
4. سیلز کا شعبہ اپنے کام میں جو کچھ بھی استعمال کرتا ہے اس سب کی نشاندہی کریں، الیکٹرانک ڈیٹا، کاغذ، آلات یا بیرونی خدمات میں فرق کیے بغیر

کمپنی A کے سیلز کے شعبے کے B نے شعبے کی معلومات کی نشاندہی کر کے معلوماتی اثاثوں کے رجسٹر کا پہلا ورژن بنایا۔ سیلز کا شعبہ سیلز مینجمنٹ سرور میں درج گاہکوں کی رابطہ معلومات، تیسری منزل کے ریکارڈ روم میں رکھے گئے اصل معاہدوں، تجارتی نمائشوں اور ملاقاتوں میں جمع کیے گئے وزٹنگ کارڈز، اور مشترکہ فولڈر میں رکھے گئے قیمت کے تخمینے کے ایک سانچے (template) کو استعمال کرتا ہے۔ B نے ہر اثاثے کے لیے استعمال کرنے والا شعبہ، انتظامی ذمہ دار، محفوظ رکھنے کی جگہ، ذریعہ اور ریکارڈز کی تعداد کے کالم پُر کیے۔ وزٹنگ کارڈز کے بارے میں یہ سن کر کہ «ہر رکن خود وصول کرتا اور اپنے پاس رکھتا ہے»، B نے یہی درج کر دیا۔ مکمل رجسٹر اپنے افسر کو جمع کرانے سے پہلے B جانچ رہے ہیں کہ اسے درج کرنے کے طریقے میں کوئی مسئلہ تو نہیں۔ اس رجسٹر کے کس اندراج پر سب سے زیادہ نظرِ ثانی کی ضرورت ہے؟

No  資産名          利用部門  管理責任者    保管場所          媒体  件数1   顧客連絡先一覧  営業部    営業部長      販売管理サーバ    電子  8,4002   契約書原本      営業部    営業事務課長  3階書庫(施錠)     紙    1,2003   受領した名刺    営業部    営業部全員    各自の名刺入れ    紙    不明4   見積書ひな形    営業部    営業企画課長  部門共有フォルダ  電子  40

1. No. 4 — جو اثاثہ کبھی کمپنی سے باہر نہیں لے جایا جاتا اسے رجسٹر میں درج کرنے کی ضرورت نہیں
2. No. 1 — زیادہ ریکارڈز والے اثاثے کو ہمیشہ متعدد قطاروں میں تقسیم کرنا ضروری ہے، ہر تعداد کے لیے ایک قطار
3. No. 3 — انتظامی ذمہ دار کی نشاندہی کسی مخصوص فرد کے طور پر نہیں کی گئی، اور نہ محفوظ رکھنے کی جگہ کا علم ہے نہ ریکارڈز کی تعداد کا
4. No. 2 — کاغذی دستاویزات معلوماتی اثاثوں کے رجسٹر کے دائرے سے باہر ہیں، اس لیے یہ قطار اس سے حذف کر دینی چاہیے

کمپنی A میں سیلز کا شعبہ آرڈر لیتے وقت گاہک کی جو معلومات درج کرتا ہے، اسے لاجسٹکس کا شعبہ ترسیل کے پتے کی تصدیق کے لیے اور اکاؤنٹس کا شعبہ انوائس جاری کرنے کے لیے استعمال کرتا ہے۔ گاہک کی معلومات انفارمیشن سسٹمز کے شعبے کے چلائے جانے والے سیلز مینجمنٹ سسٹم میں محفوظ ہیں۔ معلوماتی اثاثوں کا رجسٹر بناتے وقت شعبے اس بات پر متفق نہیں کہ گاہک کی ان معلومات کا انتظامی ذمہ دار کون ہو۔ لاجسٹکس اور اکاؤنٹس دونوں کا دعویٰ ہے کہ وہ «صرف اسے استعمال کرتے ہیں»، جبکہ انفارمیشن سسٹمز کا شعبہ کہتا ہے کہ وہ «صرف سرور سنبھالتا ہے اور مواد نہیں جانتا»۔ انتظامی ذمہ دار طے کرنے کا سب سے موزوں طریقہ کون سا ہے؟

1. معلومات محفوظ کرنے والا سسٹم چلانے والے انفارمیشن سسٹمز کے شعبے کے سربراہ کو انتظامی ذمہ دار بنائیں، اور سیلز، لاجسٹکس اور اکاؤنٹس کو استعمال کرنے والے شعبوں کے طور پر رجسٹر میں ساتھ درج کریں
2. سیلز کے شعبے کے منیجر کو، جو اپنے کام کے دوران یہ معلومات پیدا کرتا ہے اور اس کے مواد اور استعمال کے دائرے کا ذمہ دار ہے، انتظامی ذمہ دار بنائیں، اور لاجسٹکس اور اکاؤنٹس کو استعمال کرنے والے شعبوں کے طور پر رجسٹر میں ساتھ درج کریں
3. استعمال کرنے والے تینوں شعبوں کے منیجرز کو مشترکہ طور پر انتظامی ذمہ دار کے طور پر درج کریں، اور اتفاقِ رائے سے فیصلے کریں
4. کوئی انتظامی ذمہ دار مقرر نہ کریں، اور رجسٹر میں صرف استعمال کرنے والے شعبے درج کریں

کمپنی A نے طے کیا ہے کہ ہر سال مارچ میں سالانہ جائزے (棚卸し) کے دوران معلوماتی اثاثوں کا رجسٹر اپ ڈیٹ کیا جائے گا۔ اس مالی سال سیلز کے شعبے میں اپریل کے عملے کے تبادلوں میں کسٹمر مینجمنٹ سسٹم کا ذمہ دار شخص بدل گیا۔ جون میں سیلز میں مدد کی ایک نئی کلاؤڈ سروس متعارف کرائی گئی اور اس میں مذاکرات کی تاریخ محفوظ ہونے لگی۔ ستمبر میں 1,000 کاغذی معاہدے اندرونی ریکارڈ روم سے ایک بیرونی گودام میں منتقل کیے گئے۔ نومبر میں ایک کنٹریکٹ ملازم نے ملازمت چھوڑ دی، اور اس کی سنبھالی ہوئی قیمت کے تخمینوں کی فائلیں ایک اور رکن نے سنبھال لیں۔ B سوچتے ہیں: «سالانہ جائزہ مارچ میں ہے، اس لیے تب تک رجسٹر جیسا ہے ویسا رہ سکتا ہے۔» اس سوچ پر سب سے موزوں تنقید درج ذیل میں سے کون سی ہے؟

1. کلاؤڈ سروس پر محفوظ معلومات کا انتظام فراہم کنندہ کرتا ہے، اس لیے انہیں کمپنی کے اپنے رجسٹر میں درج کرنے کی ضرورت نہیں
2. رجسٹر کو صرف سسٹم کی تبدیلی کے وقت اپ ڈیٹ کرنا کافی ہے؛ عملے کا تبادلہ یا محفوظ رکھنے کی جگہ کی تبدیلی اپ ڈیٹ کے دائرے سے باہر ہیں
3. کسی اثاثے میں تبدیلی ہوتے ہی رجسٹر اپ ڈیٹ کرنا چاہیے، اور سالانہ جائزے کو مجموعی طور پر رہ جانے والے خلا پُر کرنے کا موقع سمجھنا چاہیے
4. رجسٹر اپنی تیاری کے وقت کا ریکارڈ ہے، اس لیے حتمی ہونے کے بعد اسے کبھی تبدیل نہیں کرنا چاہیے، اور اگلے مالی سال میں نیا رجسٹر شروع سے بنانا چاہیے

کمپنی A کے سیلز کے شعبے کے B نے ایک اندرونی سروے کے ذریعے معلوماتی اثاثوں کی نشاندہی کی۔ جمع شدہ جوابات میں صرف تین چیزیں تھیں: کسٹمر مینجمنٹ سسٹم کا ڈیٹا، مشترکہ فولڈر میں تجاویز (proposals)، اور ریکارڈ روم میں معاہدے۔ لیکن خود شعبے میں گھوم کر B کو پتا چلا کہ ایک رکن اپنے مستعار لیپ ٹاپ کے ڈیسک ٹاپ پر گاہکوں کی فہرست کی Excel فائل رکھتا ہے، ایک رکن ذاتی طور پر لی گئی مفت کلاؤڈ اسٹوریج سروس میں تجاویز محفوظ کر کے گھر سے ان میں ترمیم کرتا ہے، ایک رکن تجارتی نمائشوں میں جمع کیے گئے وزٹنگ کارڈز کا بنڈل دراز میں رکھتا ہے، اور ایک رکن کے پاس ایک USB ڈرائیو ہے جو اس نے کمپنی چھوڑ جانے والے ایک ساتھی سے لی تھی۔ ان میں سے کوئی بھی سروے کے جوابات میں شامل نہیں تھا۔ B کے لیے سب سے موزوں ردعمل درج ذیل میں سے کون سا ہے؟

1. چونکہ وزٹنگ کارڈز اور USB ڈرائیو مقدار میں کم ہیں، اس لیے انہیں گنے بغیر «دیگر» کے نام سے ایک ہی اندراج کے طور پر اکٹھا درج کریں
2. موقع پر جانچ سے ملنے والی معلومات کو بھی رجسٹر میں شامل کریں، اور نشاندہی کے طریقے پر نظرِ ثانی کریں تاکہ وہ صرف خود رپورٹنگ پر انحصار نہ کرے
3. مفت کلاؤڈ اسٹوریج کے استعمال پر پابندی کا نیا ضابطہ تیار ہوتے ہی نشاندہی کا کام مکمل سمجھیں
4. رجسٹر میں صرف وہ اثاثے شامل کریں جو سروے میں لکھے گئے، اور باقی سب کو فرد کے زیرِ انتظام ذاتی سامان سمجھیں

کمپنی A کے سیلز کے شعبے کے B نے شعبے کا معلوماتی اثاثوں کا رجسٹر بنایا ہے اور ان سے کہا گیا ہے کہ وہ جانچیں کہ کوئی اثاثہ ایسا تو نہیں جس کا مناسب انتظام نہیں ہو رہا۔ افسر نے کہا: «سب کچھ ایک ساتھ جانچنے کا وقت نہیں، اس لیے پہلے خطرناک چیزیں دیکھیں۔» رجسٹر میں ہر اثاثے کے لیے ذریعہ، محفوظ رکھنے کی جگہ، ریکارڈز کی تعداد، اور یہ درج ہے کہ اسے باہر لے جایا جا سکتا ہے یا نہیں۔ B کا خیال ہے کہ انتظام کی صورتِ حال خود اندراجات سے پڑھی جا سکتی ہے، اور وہ قطاروں کا موازنہ کر رہے ہیں۔ رجسٹر کا ایک اقتباس نیچے دیا گیا ہے۔ موقع پر جانچ کے لیے کس اثاثے کو سب سے زیادہ ترجیح دینی چاہیے؟

No  資産名          媒体  保管場所                    件数   持出し1   顧客連絡先一覧  電子  社内ファイルサーバ          8,400  不可2   契約書原本      紙    3階書庫(施錠)               1,200  不可3   商談メモ        電子  各自の貸与PCのデスクトップ  不明   可4   請求書控え      紙    営業部キャビネット(施錠)    3,000  不可

1. No. 1 (گاہکوں کی رابطہ فہرست)
2. No. 3 (مذاکرات کے نوٹس)
3. No. 4 (انوائسز کی نقول)
4. No. 2 (اصل معاہدے)

کمپنی A کے سیلز کے شعبے کے ٹیم لیڈ C اگلے مہینے کے آخر میں ملازمت چھوڑنے والے ہیں۔ C نے 20 گاہک کمپنیوں کی مذاکرات کی تاریخ مستعار لیپ ٹاپ کے ایک مقامی فولڈر اور کاروباری ای میل کے ان باکس میں محفوظ کر رکھی ہے، اور اس کا صرف کچھ حصہ شعبے کے مشترکہ فولڈر میں رکھا ہے۔ C اپنی میز کی دراز میں ایک USB ڈرائیو بھی رکھتے ہیں جس میں ایک گاہک کی طرف سے سپرد کیے گئے ڈرائنگز ہیں۔ افسر کی طرف سے «ملازمت چھوڑنے سے پہلے کام کی منتقلی مکمل کریں» کہے جانے پر B کو، انفارمیشن سیکیورٹی لیڈر کی حیثیت سے، طریقۂ کار ترتیب دینا ہے۔ B کو سب سے پہلے کیا کرنا چاہیے؟

1. آخری کام کے دن C کا استعمال کردہ لیپ ٹاپ دوبارہ ابتدائی حالت (initialize) میں لے آئیں، اور مستعار USB ڈرائیو کا مواد جانچے بغیر اسے ضائع کر دیں
2. C اپنے کام کے دوران جو معلومات رکھتے ہیں ان کی نشاندہی کر کے فہرست بنائیں، اور انتظامی ذمہ دار سے تصدیق کریں کہ ان میں سے کون سی معلومات معلوماتی اثاثے کے طور پر منتقل کی جانی چاہییں
3. افسر سے C کا پورا کاروباری ای میل ان باکس پڑھوائیں اور جو پیغامات ضروری لگیں انہیں ایک ایک کر کے شعبے کے مشترکہ فولڈر میں بھیجوائیں
4. C کو دیے گئے ہر اندرونی اکاؤنٹ کو فوراً غیر فعال کر دیں، تاکہ C آخری کام کے دن تک کوئی بھی اندرونی سسٹم استعمال نہ کر سکیں

کمپنی A کے سیلز کے شعبے میں ایک رکن نے کارکردگی کی خاطر ایک آن لائن سروے سروس کا مفت پلان لے رکھا تھا۔ یہ سروس تجارتی نمائش میں آنے والوں کے نام، کمپنیوں کے نام اور ای میل ایڈریس جمع کرنے کے لیے استعمال ہوتی تھی، جو بعد میں سیلز کی سرگرمیوں میں استعمال ہوتے تھے۔ انفارمیشن سسٹمز کے شعبے میں استعمال کی کوئی درخواست جمع نہیں کرائی گئی تھی، اور شعبے میں بھی صرف چند لوگ اس کے وجود سے واقف تھے۔ جب B نے معلوماتی اثاثوں کی نشاندہی کے دوران اسے دریافت کیا تو تقریباً 600 ریکارڈز پہلے ہی جمع ہو چکے تھے۔ سروس کی ایڈمن اسکرین اس طرح ترتیب دی گئی تھی کہ دو اراکین ذاتی اکاؤنٹس سے لاگ اِن کر سکتے تھے۔ B کے لیے سب سے موزوں ردعمل درج ذیل میں سے کون سا ہے؟

1. چونکہ مفت پلان پر کوئی لاگت نہیں آتی، اس لیے اسے رجسٹر میں درج نہ کریں اور اس کا استعمال جوں کا توں جاری رہنے دیں
2. دونوں اکاؤنٹ ہولڈرز کے نام انتظامی ذمہ دار کے کالم میں درج کریں اور آگے کا تمام انتظام انہی دونوں پر چھوڑ دیں
3. جمع شدہ تمام ذاتی معلومات فوراً حذف کر کے سروس منسوخ کر دیں، اور اندرونی رپورٹ اور رجسٹر میں اندراج دونوں کو چھوڑ دیں
4. جمع کی جانے والی معلومات اور ان کے استعمال کو رجسٹر میں درج کریں، اندرونی درخواست کا طریقۂ کار مکمل کریں، اور فراہم کنندہ کے حفاظتی کنٹرول کے اقدامات کی جانچ کریں

اس مالی سال سے کمپنی A نے ہر شعبے میں معلوماتی اثاثوں کا رجسٹر بنانے کا فیصلہ کیا ہے، اور جنرل افیئرز کے شعبے نے ایک بریفنگ سیشن منعقد کیا۔ سیشن کے بعد کئی اراکین نے سیلز کے شعبے کے B سے پوچھا: «رجسٹر میں کسی چیز کو معلوماتی اثاثہ شمار کرنے کی حد کہاں تک ہے؟» سیلز کے شعبے کے پاس گاہکوں کا ڈیٹا بیس، کاغذی معاہدے، مستعار لیپ ٹاپ اور اسمارٹ فونز، قیمت کے تخمینے بنانے کا سافٹ ویئر، اور سیلز میں مدد کی ایک بیرونی کلاؤڈ سروس ہے۔ اس کے علاوہ مذاکرات اور رعایت سے متعلق وہ مہارت (know-how) بھی ہے جو صرف تجربہ کار ملازمین جانتے ہیں۔ ایک رکن کا کہنا تھا کہ «کمپنی کے سامان کے رجسٹر میں درج آلات کو معلوماتی اثاثہ شمار نہیں ہونا چاہیے»، جبکہ ایک اور نے کہا کہ «کلاؤڈ پر ڈیٹا فراہم کنندہ کی ملکیت ہے»۔ معلوماتی اثاثوں کے دائرے کی سب سے موزوں وضاحت کون سی ہے؟

1. صرف وہ چیزیں معلوماتی اثاثے ہیں جن کی مالی قدر کا اندازہ لگایا جا سکے؛ جن کا اندازہ نہ لگایا جا سکے، جیسے کسی شخص کی مہارت، وہ دائرے سے باہر ہیں
2. الیکٹرانک ڈیٹا، کاغذی دستاویزات، آلات، سافٹ ویئر، بیرونی خدمات اور لوگوں کے پاس موجود علم، سب کو معلوماتی اثاثہ سمجھا جاتا ہے بشرطیکہ کاروبار کے لیے ان کی کوئی قدر ہو
3. صرف وہ چیزیں معلوماتی اثاثے ہیں جو کمپنی کی ملکیت ہوں اور کمپنی کے اندر رکھی گئی ہوں؛ بیرونی کلاؤڈ سروس پر محفوظ معلومات اور لوگوں کے پاس موجود علم شامل نہیں
4. صرف الیکٹرانک ڈیٹا معلوماتی اثاثہ ہے؛ کاغذی دستاویزات، آلات اور بیرونی خدمات شامل نہیں

کمپنی A میں معلوماتی اثاثے کی اہمیت طے کرنے کا ایک کمپنی گیر یکساں قاعدہ ہے۔ رازداری، سالمیت اور دستیابی میں سے ہر ایک کو تین درجوں کے پیمانے پر زیادہ (3)، درمیانہ (2) یا کم (1) درجہ دیا جاتا ہے، اور قاعدے کے مطابق کسی اثاثے کی اہمیت اس کے تین درجوں میں سے سب سے زیادہ درجے کے برابر ہوتی ہے۔ سیلز کے شعبے کے B نے اس قاعدے کے تحت شعبے کے اہم اثاثوں کا جائزہ لیا اور نیچے دیے گئے نتائج حاصل کیے۔ B ان اثاثوں کو الگ کرنا چاہتے ہیں جن کی اہمیت «زیادہ» ہے تاکہ ان کے جوابی اقدامات کو ترجیح دی جا سکے۔ اس قاعدے کے تحت کن اثاثوں کے مجموعے کی اہمیت «زیادہ» ہے؟

No  資産名          機密性  完全性  可用性1   顧客連絡先一覧  高      中      中2   見積書ひな形    低      中      低3   受注データ      中      高      高4   展示会案内文    低      低      低

1. No. 2 اور No. 3
2. No. 3 اور No. 4
3. No. 1 اور No. 2
4. No. 1 اور No. 3

شعبے کے اراکین کو درجہ بندی کے پیچھے سوچ سمجھانے کے لیے کمپنی A کے سیلز کے شعبے کے B نے مثال کے طور پر ایک قیمتوں کی فہرست لی جس میں ہر گاہک کے لیے رعایت کی شرح درج ہے۔ اگر یہ فہرست کسی حریف کمپنی تک پہنچ جائے تو قیمتوں کے مذاکرات میں کمپنی کو نقصان ہوگا۔ اگر اس میں کوئی عدد غلطی سے بدل جائے تو گاہک کو غلط قیمت کا تخمینہ پیش ہو سکتا ہے جسے بعد میں واپس لینا پڑے گا۔ دوسری طرف، اگر سسٹم کی خرابی کی وجہ سے یہ تقریباً آدھے دن تک پڑھی نہ جا سکے تو پچھلے مہینے کی چھپی ہوئی نقل کو متبادل کے طور پر استعمال کر کے کام جاری رکھا جا سکتا ہے۔ اس قیمتوں کی فہرست کی سب سے موزوں درجہ بندی کون سی ہے؟

1. رازداری زیادہ، سالمیت کم، دستیابی زیادہ
2. رازداری کم، سالمیت کم، دستیابی کم
3. رازداری کم، سالمیت زیادہ، دستیابی زیادہ
4. رازداری زیادہ، سالمیت زیادہ، دستیابی کم

کمپنی A کے سیلز کے شعبے میں معلوماتی اثاثوں کی درجہ بندی ہر رکن کی اپنی صوابدید پر چھوڑ دی گئی، اور تقریباً ہر اثاثے کو «رازداری زیادہ» کا درجہ مل گیا۔ کمپنی کے ہینڈلنگ کے معیار کے مطابق رازداری میں زیادہ درجے والے اثاثے کے لیے تالا لگے ریکارڈ روم میں رکھنا، باہر لے جانے کے لیے افسر کی منظوری، اور کمپنی سے باہر شیئر کرتے وقت انکرپشن اور حوالگی کا ریکارڈ ضروری ہے۔ نتیجتاً تجارتی نمائش کے دعوتی پرچے یا پہلے سے شائع شدہ مصنوعات کے کیٹلاگ کو باہر لے جانے کے لیے بھی منظوری درکار ہو گئی۔ منظوری کی درخواستیں مہینے میں درجن بھر سے بڑھ کر تقریباً دو سو تک پہنچ گئیں۔ آخرکار افسر مواد جانچے بغیر منظوری کی مہر لگانے لگے، اور پتا چلا کہ واقعی حساس گاہکوں کی فہرست کو باہر لے جانا بھی بغیر جانچ کے گزر رہا تھا۔ B کے لیے سب سے موزوں ردعمل درج ذیل میں سے کون سا ہے؟

1. منظوری کا بوجھ کم کرنے کے لیے، اہمیت سے قطع نظر، ہر اثاثے کو باہر لے جانے کے لیے افسر کی منظوری کا مرحلہ مکمل طور پر ختم کر دیں
2. سیلز کے شعبے کے ہر اثاثے کا درجہ یکساں طور پر «درمیانہ» کر دیں، اور زیادہ رازداری والے اثاثوں کے لیے بھی ہینڈلنگ کے معیار کو بہت آسان بنا دیں
3. ایسا درجہ بندی کا معیار پیش کریں جس سے اثر کی اصل شدت کی بنیاد پر فیصلہ ہو سکے، درجہ بندی دوبارہ کریں، اور عوامی معلومات جیسے کم اثر والے اثاثوں کا درجہ حقیقت کے مطابق کم کریں
4. اثاثوں کے درجے جیسے ہیں رہنے دیں، اور باہر لے جانے کی منظوری دینے والے کو ہر جگہ افسر کے بجائے وہی رکن بنا دیں جو اسے حقیقت میں کمپنی سے باہر لے جا رہا ہے

کمپنی A میں معلوماتی اثاثے کی اہمیت سے منسلک ہینڈلنگ کا معیار موجود ہے۔ سیلز کے منیجر نے سیلز کے شعبے کے B سے کہا ہے کہ وہ «زیادہ» اہمیت والی گاہکوں کی رابطہ فہرست ایک کاروباری شراکت دار کے ساتھ مشترکہ مہم کے لیے ایک بیرونی ایجنسی کو فراہم کریں۔ ایجنسی کے ساتھ خدمات کا معاہدہ موجود ہے، لیکن B نے یہ نہیں جانچا کہ اس میں رازداری کی شق شامل ہے یا نہیں۔ سیلز کے منیجر نے کہا ہے: «مہم جلد شروع ہونے والی ہے، اس لیے جلدی کریں۔» ہینڈلنگ کے معیار کا ایک اقتباس نیچے دیا گیا ہے۔ B کو سب سے پہلے کیا کرنا چاہیے؟

重要度  保管                  持出し        社外共有                廃棄高      施錠書庫または暗号化  上長承認必須  契約と部門長承認が必要  溶解またはデータ消去の記録中      施錠書庫              上長承認必須  上長承認が必要          溶解またはデータ消去低      指定なし              承認不要      承認不要                一般廃棄可

1. گاہکوں کی رابطہ فہرست کی اہمیت «درمیانہ» کر دیں تاکہ اسے صرف افسر کی منظوری سے فراہم کیا جا سکے
2. چونکہ فراہم کی جانے والی تعداد کو 100 ریکارڈز تک محدود کرنے سے اہمیت کم ہو جائے گی، اس لیے ایک مختصر ورژن بنا کر منظوری کے بغیر فراہم کر دیں
3. جانچیں کہ ایجنسی کے ساتھ معاہدے میں رازداری کی شق ہے یا نہیں، اور شعبے کے سربراہ کی منظوری حاصل کرنے کا عمل آگے بڑھائیں
4. اسے ایجنسی کے رابطہ شخص کو پاس ورڈ سے محفوظ کمپریسڈ فائل کی صورت میں بھیجیں، اور پاس ورڈ الگ پیغام میں بتائیں

کمپنی A کے سیلز کے شعبے میں سیلز کی سرگرمیوں کی رپورٹ (日報) کی فائل کو اس بنیاد پر «کم» اہمیت دی گئی کہ یہ «صرف اندرونی طور پر شیئر ہونے والی دستاویز ہے»، اور اسے ایسے مشترکہ فولڈر میں رکھا گیا جس میں کوئی بھی رکن ترمیم کر سکتا تھا۔ رپورٹ میں بعض اوقات جس شخص سے ملاقات ہوئی اس کا نام اور عہدہ، ملاقات کا مواد اور دوسری کمپنیوں کے ساتھ لین دین کی شرائط درج ہوتی ہیں۔ ایک دن ایک عارضی (ڈسپیچ) ملازم نے غلطی سے رپورٹ کا فولڈر کمپنی گیر مشترکہ فولڈر میں کاپی کر دیا، اور دو ہفتے تک اسے دوسرے شعبوں کا ہر ملازم دیکھ سکتا تھا۔ اس واقعے کے بعد B کو درجہ بندی پر نظرِ ثانی کرنی ہے۔ نظرِ ثانی کا سب سے موزوں طریقہ کون سا ہے؟

1. رپورٹ میں موجود معلومات کے افشا ہونے کے اثر کی بنیاد پر درجہ بندی دوبارہ کریں، اور جب اس میں لین دین کی شرائط جیسی زیادہ اثر والی معلومات ہوں تو رازداری کا درجہ بڑھانے والا ہینڈلنگ کا قاعدہ لاگو کریں
2. چونکہ رپورٹ روزانہ اپ ڈیٹ ہوتی ہے اور اس کا مواد بدلتا رہتا ہے، اس لیے اسے درجہ بندی سے مکمل طور پر خارج کر دیں
3. چونکہ اس بار وجہ عارضی ملازم کی غلطی تھی، اس لیے رپورٹ کا درجہ نہ بدلیں اور اس شخص کا اکاؤنٹ حذف کر کے دوبارہ وقوع کو روکیں
4. کمپنی گیر مشترکہ فولڈر کے رسائی کے حقوق پر نظرِ ثانی کرنا کافی ہے تاکہ دوسرے شعبوں کا عملہ رپورٹ نہ دیکھ سکے، اس لیے رپورٹ کی رازداری کا درجہ جیسا ہے ویسا رہنے دیں

کمپنی A نے رازداری کی درجہ بندی کا معیار یوں طے کیا ہے: «جو معلومات افشا ہونے پر قانونی طور پر رپورٹ کرنے کی ذمہ داری یا ہرجانے کا دعویٰ پیدا کر سکتی ہیں انہیں زیادہ درجہ دیا جائے»، «جو معلومات پہلے سے شائع ہو چکی ہیں انہیں کم درجہ دیا جائے»، اور «جو معلومات ان دونوں میں سے کسی پر پوری نہیں اترتیں انہیں درمیانہ درجہ دیا جائے»۔ سیلز کے شعبے میں ہر رکن نے اثاثوں کے ایک حصے کی درجہ بندی کی، اور B نے نتائج یکجا کیے۔ اس دوران B کو شبہ ہے کہ اراکین نے معیار کو یکساں طور پر لاگو نہیں کیا، خاص طور پر اس بات پر رائے مختلف تھی کہ معلومات کسی بیرونی تقریب میں جمع کی گئی تھیں یا نہیں۔ سیلز کے شعبے کی درجہ بندی کے نتائج نیچے دیے گئے ہیں۔ معیار کی روشنی میں ان میں سے کس درجہ بندی پر نظرِ ثانی ضروری ہے؟

No  資産名                  含まれる情報                                機密性の評価1   顧客連絡先一覧          顧客担当者の氏名・電話番号・メールアドレス  高2   展示会来場者アンケート  来場者の氏名・勤務先・メールアドレス        低3   契約書原本              取引条件・押印済みの署名                    高4   製品カタログ(公開版)    公開済みの製品仕様と価格                    低

1. No. 1 (سیلز کے شعبے کی گاہکوں کی رابطہ فہرست)
2. No. 4 (ویب پر اس وقت شائع شدہ مصنوعات کا کیٹلاگ)
3. No. 3 (اصل معاہدے)
4. No. 2 (تجارتی نمائش میں آنے والوں کا سروے)

کمپنی A میں ہر شعبہ معلوماتی اثاثوں کی درجہ بندی اپنی اصطلاحات میں کرتا رہا تھا: سیلز «اہم / عام / معمولی»، مینوفیکچرنگ «A / B / C»، اور اکاؤنٹس «1 سے 5 تک 5 درجوں کا پیمانہ» استعمال کرتا تھا۔ جب کمپنی گیر رسک اسیسمنٹ میں شعبوں کا آپس میں موازنہ کرنے کی کوشش کی گئی تو یہ فیصلہ کرنا ناممکن ثابت ہوا کہ جوابی اقدامات کے لیے کس اثاثے کو ترجیح دی جائے۔ یہ بھی پتا چلا کہ ایک ہی لفظ «اہم» بھی شعبے کے لحاظ سے مختلف سوچ کے تحت استعمال ہو رہا تھا۔ انفارمیشن سیکیورٹی کمیٹی کے سیکریٹریٹ کے طور پر کام کرنے والے B کے لیے سب سے موزوں تجویز درج ذیل میں سے کون سی ہے؟

1. کمپنی گیر سطح پر درجہ بندی کے درجے اور کسی چیز کو ہر درجے میں رکھنے کے معیار (افشا، تبدیلی یا استعمال بند ہونے کا اثر) دونوں طے کریں، اور ہر شعبے سے اسی معیار کے مطابق درجہ بندی دوبارہ کروائیں
2. انفارمیشن سسٹمز کا شعبہ کمپنی گیر درجہ بندی خود اکیلے کرے، اور ہر شعبے کو درجہ بندی میں شامل نہ کیا جائے
3. ہر شعبے کے انداز کو اکاؤنٹس کے زیادہ باریک 5 درجوں کے پیمانے پر یکساں کر دیں، جبکہ کوئی چیز کس درجے میں آتی ہے اس کے معیار کو پہلے کی طرح ہر شعبے کی صوابدید پر چھوڑ دیں
4. ہر شعبے کا درجہ بندی کا انداز جیسا ہے رہنے دیں، اور ہر شعبے سے اپنے سرِفہرست تین اثاثے چنوائیں جو جوابی اقدامات کی کمپنی گیر فہرست بنیں

کمپنی A کے سیلز کے شعبے میں آرڈرز کا ڈیٹا سیلز مینجمنٹ سسٹم میں درج کیا جاتا ہے، اور ترسیل کی ہدایات اور انوائسنگ سب اسی ڈیٹا کی بنیاد پر ہوتے ہیں۔ اگر سسٹم رک جائے تو اس دن ترسیل نہیں ہو سکتی؛ پورے دن کی بندش سے تقریباً 20 ملین ین کی فروخت اگلے مہینے پر چلی جاتی ہے اور گاہکوں کو ترسیل میں تاخیر بھی ہوتی ہے۔ دوسری طرف، پرانے مذاکرات کے نوٹس والا مشترکہ فولڈر اگر ایک ہفتے تک دستیاب نہ ہو تب بھی روزمرہ کام میں کوئی بڑی رکاوٹ نہیں آتی۔ مذاکرات کے نوٹس کے ریکارڈز کی تعداد بھی آرڈرز کے ڈیٹا سے زیادہ ہے۔ B کو دونوں کی دستیابی کا درجہ طے کرنا ہے۔ سب سے موزوں سوچ کون سی ہے؟

1. دستیابی کا فیصلہ سسٹم چلانے والے انفارمیشن سسٹمز کے شعبے کا کام ہے، اور سیلز کے شعبے کو، استعمال کرنے والے شعبے کی حیثیت سے، درجہ بندی میں شامل ہونے سے گریز کرنا چاہیے
2. چونکہ دونوں اندرونی کاروبار میں روزمرہ استعمال ہونے والی معلومات ہیں، اس لیے دونوں کو دستیابی کا ایک ہی درجہ دیں
3. زیادہ ریکارڈز والے مذاکرات کے نوٹس کو نظرِ ثانی کر کے آرڈرز کے ڈیٹا سے زیادہ دستیابی کا درجہ دیں
4. اس بنیاد پر درجہ بندی کریں کہ کسی چیز کے ناقابلِ استعمال ہونے پر کتنا کام رک جاتا ہے اور کتنی دیر کی بندش برداشت کی جا سکتی ہے، اور آرڈرز کے ڈیٹا کو زیادہ اور مذاکرات کے نوٹس کو کم درجہ دیں

کمپنی A کے سیلز کے شعبے میں گاہکوں کی رابطہ فہرست اندرونی فائل سرور پر رکھی گئی ہے، اور اسے اس طرح ترتیب دیا گیا ہے کہ ہر رکن اس تک رسائی حاصل کر سکے۔ پچھلے مہینے پتا چلا کہ ملازمت چھوڑ جانے والے ایک ملازم کا اکاؤنٹ حذف کیے بغیر باقی رہ گیا تھا۔ اراکین دفتر سے باہر بھی کمپنی کے دیے گئے لیپ ٹاپ پر VPN کے ذریعے یہی فائل دیکھتے ہیں۔ B اس اثاثے کے لیے رسک اسیسمنٹ شروع کر رہے ہیں، جس کا آغاز رسک کی نشاندہی سے ہوگا۔ رسک کی نشاندہی کے طور پر کیا جانے والا سب سے موزوں کام درج ذیل میں سے کون سا ہے؟

1. گاہکوں کی رابطہ فہرست کو درپیش خطرات (غیر مجاز رسائی، اندرونی دھوکا دہی، گم ہو جانا وغیرہ) کو ان کمزوریوں سے ملا کر جن سے فائدہ اٹھایا جا سکتا ہے (غیر ضروری اکاؤنٹ کا باقی رہ جانا، ضرورت سے زیادہ اختیارات وغیرہ)، پیش آ سکنے والے واقعات کی نشاندہی کریں
2. نشاندہی شدہ ہر رسک کے جوابی اقدام کی لاگت کا اندازہ لگائیں، سب سے سستے سے شروع کر کے جو بجٹ میں سما جائیں ان پر عمل کریں، اور ان پر عمل درآمد کی صورتِ حال ریکارڈ کریں
3. گاہکوں کی رابطہ فہرست پر ملازمت چھوڑنے والے ملازم کا باقی اکاؤنٹ فوراً حذف کریں، ہر رکن کے رسائی کے حقوق کو اس کے کام کے لیے ضروری حد تک محدود کریں، اور اسی مقام پر اس اثاثے پر کام کا پورا سلسلہ مکمل سمجھیں
4. گاہکوں کی رابطہ فہرست کے لیے امکان اور اثر کی شدت کا اندازہ لگائیں، دونوں کو ضرب دے کر رسک کا حجم نکالیں، اور اس کا موازنہ قبولیت کے معیار سے کریں

کمپنی A نے اپنے ضوابط میں رسک کی سطح نکالنے کا طریقہ اور قبولیت کا معیار طے کیا ہے۔ رسک کی سطح «امکان (زیادہ 3، درمیانہ 2، کم 1) × اثر (زیادہ 3، درمیانہ 2، کم 1)» کا حاصلِ ضرب ہے۔ 6 یا اس سے زیادہ حاصلِ ضرب کو ناقابلِ قبول رسک سمجھا جاتا ہے جس سے ترجیحی بنیاد پر نمٹنا ہے۔ سیلز کے شعبے کے B نے اس طریقے سے شعبے کے رسکس کا تجزیہ کیا اور نیچے دیے گئے نتائج حاصل کیے۔ افسر نے کہا ہے: «میں اسے ایک چیز تک محدود کر کے پہلے اس کے جوابی اقدام پر کام آگے بڑھانا چاہتا ہوں۔» اس معیار کے تحت کس رسک سے ترجیحی بنیاد پر نمٹنا چاہیے؟

No  リスク                          発生可能性  影響度  積1   顧客連絡先一覧の外部への漏えい  低(1)       高(3)   32   退職者アカウントによる不正閲覧  中(2)       高(3)   63   紙の契約書の紛失                中(2)       中(2)   44   展示会案内文の誤送信            高(3)       低(1)   3

1. No. 2 (ملازمت چھوڑنے والے ملازم کے اکاؤنٹ کے ذریعے غیر مجاز طور پر دیکھنا)
2. No. 3 (اصل کاغذی معاہدے کا گم ہو جانا)
3. No. 4 (تجارتی نمائش کے دعوت نامے کا غلط وصول کنندہ کی وجہ سے غلط جگہ ای میل ہو جانا)
4. No. 1 (گاہکوں کی رابطہ فہرست کا بڑے پیمانے پر بیرونی افشا)

کمپنی A کے سیلز کے شعبے میں رسک اسیسمنٹ کے نتائج کی روشنی میں رسک سے نمٹنے کی پالیسی طے کرنے کے لیے ایک اجلاس ہوا۔ اس میں سیلز کے منیجر، B اور انفارمیشن سسٹمز کے شعبے کے ایک نمائندے نے شرکت کی۔ بحث کے نتیجے میں چار رسکس میں سے ہر ایک کے لیے مختلف قسم کا ردعمل طے پایا۔ کمپنی گیر انفارمیشن سیکیورٹی کمیٹی کو رپورٹ کرنے کے لیے B کو فیصلوں کو رسک کے ردعمل کی قسم کے لحاظ سے درجہ بند کرنا ہے۔ فیصلے نیچے دیے گئے ہیں۔ جب ہر ردعمل کو رسک سے اجتناب، رسک میں کمی، رسک کی منتقلی یا رسک کو برقرار رکھنا (قبول کرنا) میں درجہ بند کیا جائے تو درست مجموعہ کون سا ہے؟

No  リスク                      決めた対応1   展示会での名刺収集時の紛失  名刺の収集をやめ、来場者情報は取引先経由でのみ受け取る2   ファイルサーバへの不正侵入  アクセス権の見直しと多要素認証の導入を行う3   サイバー攻撃による損害賠償  サイバー保険に加入する4   社内掲示板の記載誤り        影響が小さいため対策は行わず、記録を残して年次で再評価する

1. 1 = اجتناب، 2 = کمی، 3 = منتقلی، 4 = برقرار رکھنا
2. 1 = منتقلی، 2 = کمی، 3 = اجتناب، 4 = برقرار رکھنا
3. 1 = کمی، 2 = اجتناب، 3 = برقرار رکھنا، 4 = منتقلی
4. 1 = اجتناب، 2 = منتقلی، 3 = کمی، 4 = برقرار رکھنا

کمپنی A کے سیلز کے شعبے میں گاہکوں کی رابطہ فہرست کے افشا کے رسک کے لیے رسائی کے حقوق پر نظرِ ثانی جیسا کمی کا اقدام کیا گیا، لیکن رسک کی سطح قبولیت کے معیار سے معمولی سی اوپر ہی رہی۔ اضافی اقدام کے طور پر ڈیٹا باہر لے جانے کے انتظام کا ایک مخصوص سسٹم متعارف کرانے پر غور ہو رہا ہے، لیکن اس پر سالانہ 8 ملین ین لاگت آئے گی۔ دوسری طرف، اس رسک سے متوقع نقصان کا اندازہ تقریباً 1 ملین ین سالانہ لگایا گیا ہے۔ B طے کر رہے ہیں کہ باقی رہ جانے والے رسک سے کیسے نمٹا جائے۔ سب سے موزوں ردعمل کون سا ہے؟

1. چونکہ یہ قبولیت کے معیار سے زیادہ ہے، اس لیے لاگت کچھ بھی ہو، اضافی جوابی اقدام لازماً کیا جائے
2. رسک کی سطح نکالنے کا طریقہ بدل دیں اور جائزہ دوبارہ کریں تاکہ یہ قبولیت کے معیار کے اندر آ جائے
3. لاگت کی تاثیر اور باقی رہ جانے والے رسک کی نوعیت کو ترتیب دیں، ذمہ داری رکھنے والے انتظامی سطح کے افراد کو اس کی وضاحت کریں، اور ان کی منظوری ملنے پر اسے باقی ماندہ رسک کے طور پر ریکارڈ کریں
4. چونکہ لاگت فائدے کے لائق نہیں، اس لیے B، انفارمیشن سیکیورٹی لیڈر کی حیثیت سے، خود ہی رسک قبول کرنے کا فیصلہ کریں اور کوئی خاص ریکارڈ نہ رکھیں

کمپنی A ہر سال اپریل میں رسک اسیسمنٹ کرتی ہے۔ اس مالی سال جون میں سیلز میں مدد کی ایک نئی کلاؤڈ سروس متعارف کرائی گئی اور اس میں گاہکوں کی معلومات محفوظ ہونے لگیں۔ ستمبر میں ذاتی معلومات کے استعمال سے متعلق قانون میں ترمیم نافذ ہوئی۔ نومبر میں ایک اور شعبے میں میل ویئر کے انفیکشن کا انسیڈنٹ ہوا، اور کمپنی گیر انتباہ جاری کیا گیا۔ جنوری میں سیلز کا شعبہ اور سیلز پلاننگ کا شعبہ ضم ہو گئے، جس سے انتظامی ذمہ دار اور اختیار کا دائرہ بدل گیا۔ B سوچتے ہیں: «اگلی اسیسمنٹ اپریل میں ہے، اس لیے تب تک موجودہ نتائج برقرار رہ سکتے ہیں۔» اس سوچ پر سب سے موزوں تنقید درج ذیل میں سے کون سی ہے؟

1. نئی سروس کا آغاز، قانونی ترمیم، کسی انسیڈنٹ کا وقوع اور تنظیمی تبدیلی، یہ سب ایسے واقعات ہیں جو اسیسمنٹ کے بنیادی مفروضوں کو بدل دیتے ہیں اور ہر بار نظرِ ثانی کا تقاضا کرتے ہیں
2. قانونی ترمیم پر ردعمل قانونی شعبے کا کام ہے، اور یہ سیلز کے شعبے کی رسک اسیسمنٹ پر نظرِ ثانی کی وجہ نہیں
3. کسی اور شعبے میں ہونے والے انسیڈنٹ کا اس شعبے سے کوئی تعلق نہیں، اس لیے یہ نظرِ ثانی کی وجہ نہیں
4. چونکہ رسک اسیسمنٹ سال میں ایک بار کرنے کا فیصلہ ہوا ہے، اس لیے سال کے دوران ہونے والی تبدیلیوں کو اگلی اسیسمنٹ میں ایک ساتھ شامل کیا جا سکتا ہے، اور ہر بار نظرِ ثانی کی ضرورت نہیں

کمپنی A کے سیلز کے شعبے کے B شعبے کی پہلی رسک اسیسمنٹ کر رہے ہیں۔ ان کے پاس پچھلے ہفتے مکمل ہونے والا معلوماتی اثاثوں کا رجسٹر ہے، جس میں ہر اثاثے کا نام، انتظامی ذمہ دار، رازداری/سالمیت/دستیابی کے درجے اور اہمیت درج ہیں۔ افسر نے کہا ہے: «چونکہ دستیاب وقت محدود ہے، اس لیے میں سب سے زیادہ ترجیح والی چیزوں سے پہلے نمٹنا چاہتا ہوں۔» کمپنی کے ضوابط میں رسک کی سطح نکالنے کا طریقہ اور قبولیت کا معیار طے ہے۔ B کو آگے کیا کرنا چاہیے؟

1. سب سے زیادہ اہمیت والے اثاثوں سے شروع کر کے، خطرے اور کمزوری کے مجموعوں سے رسکس کی نشاندہی کریں، اور امکان اور اثر سے رسک کی سطحیں نکالیں
2. دوسری کمپنیوں میں ہونے والے انسیڈنٹس کی مثالیں جمع کریں اور وہی جوابی اقدامات ہر اثاثے پر یکساں طور پر لاگو کریں
3. قبولیت کا معیار استعمال کیے بغیر جو جوابی اقدام پہلے ذہن میں آئے اس پر عمل کریں
4. رجسٹر کے ہر اثاثے کے لیے متعدد وینڈرز سے جوابی اقدام کی مصنوعات کے تخمینے منگوائیں اور لاگت اور تاثیر کا موازنہ کریں

کمپنی A کے سیلز کے شعبے میں رسک اسیسمنٹ کے نتائج کی بنیاد پر رسک کے ردعمل کا منصوبہ تیار کیا گیا۔ منصوبے کے سانچے میں ہر رسک کے لیے جوابی اقدام، ذمہ دار شخص، آخری تاریخ، اور یہ درج ہوتا ہے کہ عمل درآمد کے بعد باقی ماندہ رسک سے کیسے نمٹا جائے گا۔ ہر رسک کے ذمہ دار نے اپنا حصہ تیار کیا، اور B نے انہیں یکجا کیا۔ یکجا کرتے ہوئے B نے دیکھا کہ کچھ قطاریں خالی یا مبہم الفاظ کے ساتھ جمع کرائی گئی تھیں۔ تیار شدہ منصوبے کا ایک اقتباس نیچے دیا گیا ہے۔ اس منصوبے کے کس اندراج پر سب سے زیادہ نظرِ ثانی کی ضرورت ہے؟

No  リスク                      対応策                        責任者            期限            残留リスクの扱い1   退職者IDによる不正閲覧      退職手続にID即時停止を組込み  営業事務課長      10月末          受容し記録する2   紙の契約書の紛失            施錠書庫での保管と持出し記録  営業部長          11月末          受容し記録する3   ノートPC紛失時の情報漏えい  全台のディスク暗号化          情報システム部長  12月末          受容し記録する4   顧客情報の誤送信            注意喚起の周知                未定              できるだけ早く  未検討

1. No. 4 — نہ ذمہ دار شخص طے ہوا ہے نہ آخری تاریخ، اور یہ بھی طے نہیں کہ باقی ماندہ رسک سے کیسے نمٹا جائے گا
2. No. 2 — ذمہ دار شخص شعبے کے سربراہ کی سطح پر رکھا گیا ہے، جو مؤثر ہونے کے لیے بہت اونچا عہدہ ہے
3. No. 3 — ذمہ دار شخص سیلز کے بجائے بالکل مختلف شعبے کے منیجر کو مقرر کیا گیا ہے
4. No. 1 — جوابی اقدام کسی تکنیکی ذریعے کے بجائے صرف آپریشنل طریقۂ کار پر انحصار کرتا ہے

کمپنی A کے سیلز کے شعبے میں گاہکوں کی معلومات محفوظ رکھنے والا لیپ ٹاپ گم ہونے سے معلومات کے افشا کے رسک کے لیے جوابی اقدام پر غور ہو رہا ہے۔ افشا ہونے کی صورت میں متوقع نقصان فی واقعہ 5 ملین ین ہے، اور ماضی کے تجربے کی بنیاد پر لیپ ٹاپ گم ہونے کا واقعہ تقریباً پانچ سال میں ایک بار، یعنی سال میں 0.2 بار، متوقع ہے۔ آپشن A ڈسک انکرپشن سافٹ ویئر متعارف کرانا ہے، جس پر سالانہ 300,000 ین لاگت آتی ہے، اور لیپ ٹاپ گم ہونے پر بھی افشا تقریباً مکمل طور پر روک دیتا ہے۔ آپشن B باہر لے جائے جانے والے ہر لیپ ٹاپ کو گمشدگی سے بچاؤ کی خصوصیات والے ماڈل سے بدلنا ہے، جس پر سالانہ 4 ملین ین لاگت آتی ہے۔ آپشن C کوئی جوابی اقدام نہ کرنا اور گمشدگی ہونے پر گاہک کو ہمدردی کی رقم (見舞金) ادا کرنا ہے، جس کا متوقع سالانہ خرچ 1 ملین ین ہے۔ انتظامی اجلاس میں B کے لیے وضاحت کا سب سے موزوں مواد درج ذیل میں سے کون سا ہے؟

1. چونکہ رسک کا حجم بنیادی طور پر رقم کی صورت میں ظاہر نہیں کیا جا سکتا، اس لیے جوابی اقدامات کی لاگت کی تاثیر کا موازنہ مکمل طور پر چھوڑ دینا چاہیے
2. چونکہ ہر جوابی اقدام کی لاگت متوقع سالانہ نقصان سے زیادہ ہے، اس لیے ان میں سے کسی پر عمل نہیں کرنا چاہیے، اور بس آپشن C جوں کا توں منتخب کر لینا چاہیے
3. متوقع سالانہ نقصان 1 ملین ین ہے، اور آپشن A، جو سالانہ 300,000 ین میں افشا کو تقریباً مکمل طور پر روک دیتا ہے، لاگت کی تاثیر کے لحاظ سے سب سے بہتر ہے
4. سب سے مضبوط جوابی اقدام آپشن B منتخب کرنا چاہیے، اور اس کی 4 ملین ین سالانہ لاگت کے حجم کو خاص اہمیت دینے کی ضرورت نہیں