サードパーティのサービス プロバイダーに対してセキュリティ制御を要求および実施する機能はベンダー管理の対象となり、外部ベンダーが組織のセキュリティ標準に準拠していることを保証します。
* ベンダー管理の役割:
* セキュリティ要件への準拠を義務付ける契約およびサービス レベル契約 (SLA) を確立します。
* 遵守を確実にするために定期的な監査と評価を実施します。
* 重要な機能:
* サードパーティベンダーのリスク評価。
* ベンダーの業務の継続的な監視と監督。
* 他のオプションとの比較:
* セキュリティ ガバナンス: 包括的なポリシーが含まれますが、サードパーティによる強制には重点が置かれていません。
* コンプライアンス管理: 法律の遵守を保証しますが、ベンダーとの関係については特に扱いません。
* サードパーティのリスク管理: 企業セキュリティの重要な要素としてベンダー管理を強調します。
* サプライ チェーン セキュリティ: 組織の資産を保護するために外部サービスのリスクを制御することに重点を置きます。
EC-Council CISO リファレンス:

保持ポリシーの重要性：業務目的に合わなくなった情報は、組織のデータ保持ポリシーに従って管理する必要があります。これにより、法令遵守を維持しながら、古くなったデータが適切にアーカイブまたは廃棄されることが保証されます。
重要な考慮事項:
* 法令遵守: 保持ポリシーでは、多くの場合、さまざまなデータ タイプを保持するための最小期間と最大期間が規定されています。
* コスト効率: 保持ポリシーが実施されていない場合、古いデータの管理はコストの負担になる可能性があります。
* リスク軽減: 保持ポリシーは、不要なデータの公開や侵害を防ぐのに役立ちます。
他のオプションが間違っている理由:
* A. ビジネス影響分析: これは、古い情報の管理ではなく、中断の影響を評価するためのものです。
* B. 分類ポリシー: 関連性ではなく、機密性に応じてのみデータ保護を保証します。
* C. データ所有権ポリシー: データのライフサイクルではなく、データに対する説明責任に重点を置きます。
参考資料:EC 評議会は、情報セキュリティ フレームワーク内で情報のライフサイクルを効果的に管理する上で、データ保持ポリシーの役割を重視しています。

* 戦略セキュリティ計画の基盤:
* CISO は、セキュリティ戦略が組織のより広範な戦略目標と一致していることを確認する必要があります。
* 組織の戦略計画を分析することで、セキュリティ イニシアチブが成長、イノベーション、市場拡大などのビジネス目標をサポートしていることが保証されます。
* 他の選択肢を選ばない理由:
* A: 外部計画は内部目標や制約と一致しない可能性があります。
* B: 非現実的な目標は失敗やビジネス目標との不一致につながる可能性があります。
* C: 買収のレビューは有用ですが、戦略計画の出発点ではありません。
参照：
戦略的セキュリティ計画の構築に関するセキュリティインテリジェンス
参考: https://securityintelligence.com/the-importance-of-building-an-information-security-strategic-plan/