Which regulation requires a risk assessment as part of compliance?

Đáp án đúng: "HIPAA". Đạo luật HIPAA (Health Insurance Portability and Accountability Act) qua Security Rule (quy tắc bảo mật) bắt buộc các tổ chức y tế và đối tác kinh doanh của họ thực hiện risk analysis (phân tích rủi ro) đối với thông tin sức khoẻ điện tử được bảo vệ, rồi dựa vào kết quả đó chọn các biện pháp bảo vệ hành chính, vật lý và kỹ thuật; vì vậy đánh giá rủi ro là một phần bắt buộc của việc tuân thủ. "GLBA" cũng yêu cầu đánh giá rủi ro qua Safeguards Rule đối với các tổ chức tài chính, nên đây là phương án không sai hẳn, nhưng câu hỏi chỉ cho chọn một và HIPAA là luật điển hình gắn yêu cầu phân tích rủi ro vào việc tuân thủ. "CIPA" (Children's Internet Protection Act) chỉ yêu cầu trường học và thư viện nhận hỗ trợ liên bang lọc nội dung Internet có hại cho trẻ em, không đòi hỏi đánh giá rủi ro. "All of the above" sai vì CIPA không thuộc nhóm luật yêu cầu đánh giá rủi ro, nên không thể đúng cho cả ba.