組織が決定した「力量」を備えていることを実証するために保持すべき「文書化された情報」の例はどれか。

情報セキュリティリスクアセスメントのプロセスにおいて、「リスク特定」の際に考慮すべき「脅威」の例はどれか。