情報セキュリティプログラムの目的:
情報セキュリティプログラムの主目的は、ビジネス目標に合致した方法でリスクを管理し、潜在的なセキュリティインシデントの影響を最小限に抑えることです。これには、リスクの特定、適切な管理策の導入、そしてセキュリティ対策が組織全体のリスク管理フレームワークに統合されていることの確保が含まれます。
リスク中心のアプローチ:
EC 評議会は、情報セキュリティ プログラムはコンプライアンスや最新ツールの導入だけに重点を置くのではなく、ビジネス プロセスを中断したり資産に損害を与えたりする可能性のあるリスクを軽減することに重点を置く必要があることを強調しています。
ビジネス継続性との連携:
ビジネス継続性要件 (オプション B) との戦略的な整合は重要ですが、これはビジネスに対するリスクの全体的な影響を軽減するというより広範な目標の一部です。
参考文献:
これは、リスク軽減を優先しながら、セキュリティイニシアチブをビジネス戦略と整合させることを EC 評議会が重視していることからも明らかです。

ISO27000認証
* ISO 27000 規格は、組織の情報セキュリティ管理システム (ISMS) を評価および認証するためのフレームワークを提供します。
* 独立した機関が組織の ISO 標準への準拠を評価し、強力なセキュリティ管理を確保します。
オプションの比較
* A. ビジネス目標との整合性: セキュリティ制御評価に固有のものではありません。
* C. PCI コンプライアンス認証: 一般的なベンダーのセキュリティ体制ではなく、ペイメント カード業界の標準に重点を置いています。
* D. 財務諸表: 財務に関する洞察を提供しますが、セキュリティ評価は提供しません。
EC評議会の参考資料
* EC-Council CISO トレーニングでサードパーティのリスク管理のベンチマークとして取り上げられました。