プログラムとしてのリスク管理
* プログラムとは、リスク管理などの特定のセキュリティ目標の達成を目的とした、調整された一連の取り組みと活動を指します。組織のリスクを軽減するためのポリシー、プロセス、ツールが含まれます。
他の選択肢はないのでしょうか?
* A. サービス: 包括的な取り組みの調整ではなく、特定の成果物を意味します。
* C. ポートフォリオ: 複数のプログラムを網羅しますが、リスク管理のみを説明するものではありません。
* D. コスト センター: 運用機能ではなく、財務面に焦点を当てます。
EC評議会の参考文献
* リスク管理を、企業のセキュリティ運用のより広い文脈における戦略的プログラムとして定義します。

* ベンダー管理は、サードパーティプロバイダーの監視に重点を置いています。これには、セキュリティ基準、契約上の義務、および関連規制の遵守の確保が含まれます。セキュリティ管理の実装と管理を義務付けることは、このプロセスの重要な部分です。
他のオプションがあまり適していない理由を見てみましょう。
* ディザスタリカバリとは、サービス停止後の復旧を指します。ディザスタリカバリにおいてセキュリティは重要ですが、サードパーティサービスにおけるセキュリティ管理の要件において、セキュリティは最優先事項ではありません。
* セキュリティガバナンスとは、組織のセキュリティを管理するためのポリシーとプロセスのより広範な枠組みです。ベンダー管理もこれに含まれますが、質問で強調されている具体的な側面ではありません。
* コンプライアンス管理は、法令遵守を確実にするものです。これはベンダー管理にも関連していますが、この質問は、ベンダー管理機能であるセキュリティ管理を要求する能力に特に焦点を当てています。

説明/参照:

ビジネス目標との整合性
* セキュリティが組織の目標をサポートし、強化できるようにするために、IT セキュリティ戦略計画は会社の全体的なビジネス目標と一致している必要があります。
なぜ最初に事業計画を見直すのか
* 組織の優先事項、リスク、戦略的方向性を明確に理解できます。
* セキュリティ投資を必要とする重要な資産とプロセスを特定するのに役立ちます。
オプションの比較
* A. 既存の IT 環境: 重要ですが、ビジネス目標との整合に比べると二次的なものです。
* C. 現在の IT 予算: リソースの割り当てには役立ちますが、戦略的な調整には役立ちません。
* D. その他の企業技術トレンド: 関連性はありますが、ビジネス プランほど重要ではありません。
EC評議会の参考文献
* 戦略的整合は、EC-Council CISO ガイダンスの中核原則であり、セキュリティの取り組みがビジネスの回復力と成長をサポートすることを保証します。