パッチ管理戦略において、CVSSスコアだけでなく「リスクベース」のアプローチを採用するとはどういうことか。

セキュリティ意識向上トレーニングの効果測定として、「フィッシング訓練」の開封率以外に計測すべき、より本質的な指標はどれか。