包括的かつ詳細な説明（250～350語）
EC-CouncilのCCISOに関する文書によると、情報セキュリティ対策は大きく管理（組織）対策、技術対策、物理対策に分類されます。情報保証要件を独立したセキュリティグループに割り当てることは、技術的または運用上の決定ではなく、ガバナンスと構造上の決定を意味します。
CCISOプログラムでは、組織的（管理的）統制を、役割、責任、職務分掌、ガバナンス構造、ポリシー、および監督メカニズムを確立する統制として明確に定義しています。情報保証の責任を独立したセキュリティグループに割り当てることで、客観性、説明責任、および独立性が確保されます。これらは、CCISOのガバナンスおよびリーダーシップモジュールで強調されている基本原則です。
検知制御は、ログ記録や監視など、インシデントが発生した後にそれを特定するように設計されています。
先制的および予防的な対策は、脅威インテリジェンスや予測分析などの手段を通じて脅威を予測または防止することに重点を置いています。これらのいずれも、組織内における権限や責任の構造化については説明していません。
CCISOの資料では、利益相反を回避し、経営陣や取締役会への公平なリスク報告を確実にするためには、セキュリティ機能の独立性が不可欠であると強調されています。これは、情報セキュリティにおける役割と責任を明確に定めることを求めるISO/IEC 27001などの業界ガバナンスのベストプラクティスや規格に合致しています。
したがって、情報保証要件を独立したセキュリティグループに割り当てることは、ガバナンス主導の組織的統制であり、選択肢Bが正解となる。