新しい情報資産を導入する際の資産所有者の最も重要な責任は、情報の分類です。このプロセスには、機密性のレベルの決定と資産の適切な取り扱いが含まれます。分類は、適切なセキュリティ制御とアクセス許可を適用するのに役立ち、資産がその価値と機密性に応じて確実に保護されるようにします。
参考 = CompTIA Project+ 認定学習ガイド (PK0-005)

制御目標は、リスクを軽減し、情報資産を保護するためにセキュリティ制御を実装する際の望ましい結果または目標です。管理目標は、組織とその利害関係者のビジネス目標、要件、期待と一致するため、情報セキュリティ プログラムの有効性を測定する指標を確立するための主要な基礎となる必要があります。制御目標に基づく指標は、セキュリティ プログラムのパフォーマンス、効率、成熟度を評価し、ギャップ、問題、改善の余地がある領域を特定するのに役立ちます。他のオプションは次の理由により正しくありません。
残留リスクとは、セキュリティ制御を適用した後に残るリスクです。残留リスクは指標を確立するための基礎ではなく、むしろセキュリティ管理の有効性を測定した結果です。残留リスクは監視および報告されるべきですが、それはセキュリティ プログラムの望ましい結果や目標を定義するものではありません。
規制要件は、法的または金銭的罰金を回避するために組織が遵守する必要がある外部標準、法律、規制です。規制要件は指標を確立するための基礎ではなく、むしろセキュリティ プログラムの制約または推進力です。規制要件に基づく指標は、コンプライアンスを証明するのに役立ちますが、セキュリティ プログラムの実際の有効性や効率を反映していない可能性があります。
リスク許容度は、組織が受け入れるか負担するリスクのレベルです。リスク許容度は指標を確立するための基礎ではなく、むしろセキュリティ プログラムの要素または入力値です。リスク許容度に基づく指標は、リソースの優先順位付けと割り当てに役立ちますが、セキュリティ プログラムの実際の結果や目標を測定できるわけではありません。参考文献 = セキュリティ ガバナンスの主要業績評価指標、パート 1。2023 年に追跡する必要がある 14 のサイバーセキュリティ指標と KPI。情報セキュリティの KPI: 最も重要な 10 のセキュリティ指標。サイバーセキュリティ プログラムの価値を証明するために指標が重要である理由。セキュリティ プログラムのメトリクスの実装と維持

スコープ クリープが発生する可能性が最も高いのは、主要な関係者が上級開発者に新しいプロジェクトを推奨した場合です。
現在の要件ドキュメントの一部ではない機能が追加される可能性があります。スコープクリープとは、
プロジェクトの範囲が元の境界や目的を超えて制御されずに拡大または変更されること。範囲
クリープは、顧客の要求の変化、不明確または不完全など、さまざまな理由で発生する可能性があります。
要件、不十分なコミュニケーション、変更管理の欠如、または利害関係者の干渉。スコープクリープが発生する可能性があるのは、
遅延、コスト超過、品質問題、顧客満足度の低下など、プロジェクトへの悪影響12

アジャイルは、顧客のコラボレーション、フィードバック、適応を重視するプロジェクト管理方法論です。
プロジェクトのライフサイクル全体にわたって。アジャイル チームは、スプリントと呼ばれる短い反復で作業し、作業を提供します。
レビューと承認のために顧客に製品またはサービスの増分を提供します。アジャイルチームは次のようなことにも対応できます
プロジェクトの範囲、スケジュール、または品質を調整することにより、要件と優先順位を変更する12。滝、
一方、これは線形かつ順次的なプロセスに従うプロジェクト管理方法論です。
プロジェクトの各フェーズは、次のフェーズに進む前に完了する必要があります。ウォーターフォール チームは、
範囲、スケジュール、品質を固定し、最終製品またはサービスを顧客に提供します。
プロジェクト。ウォーターフォール チームは、プロジェクト開発中に顧客の関与が少なく、柔軟性がありません34。

運用セキュリティ (OPSEC) は、機密情報が悪用されるのを防ぐプロセスです。
敵の視点から作戦を観察することで、ハンドを理解できる1。施設へのアクセスは OPSEC の一種であり、
機密データや機器が保管または処理される物理的な場所に誰が出入りできるかを管理します。
施設へのアクセスには、施錠、警報、バッジ、生体認証、警備員、カメラなどの措置が含まれる場合があります。もう一つは
次の理由により、オプションは正しくありません。
モバイル デバイスのコンプライアンスは、従業員または請負業者がモバイル デバイスを使用することを保証するポリシーです。
暗号化、パスワード保護、ウイルス対策などの特定のセキュリティ標準と要件を満たしていること。
そしてリモートワイプ。モバイル デバイスのコンプライアンスは OPSEC の一種ではなく、データ セキュリティの一種です
またはデバイス管理。
身元調査は、犯罪者の犯罪歴、経済的経歴、および職歴をチェックするプロセスです。
潜在的な従業員または請負業者を雇用する前に。バックグラウンド スクリーニングは OPSEC の一種ではありませんが、
むしろ、人材管理またはリスク軽減の一形態です。
多要素認証は、ユーザーが 2 つ以上の証拠を提供することを要求する方法です。
システムまたはサービスにアクセスする前に、パスワード、コード、トークン、パスワードなどの本人確認を行う
生体認証。多要素認証は OPSEC の形式ではなく、アクセス制御または
アイデンティティ管理。参考文献 = CompTIA Project+ 学習ガイド: 試験 PK0-005、第 3 版、
第 10 章: プロジェクトの実行と終了 (314 ページ)。CompTIA プロジェクト+ 認定試験
目標、ドメイン 3: プロジェクトの実行、目標 3.2: 与えられたシナリオ、プロジェクトを実行および監視する
従来の方法論を使用したタスク。運用上のセキュリティとは何ですか? 5 段階のプロセス、ベスト
実践など