組織のシステムに損害を与える可能性のある複数のソースは、脅威として分類されます。サイバーセキュリティのリスク用語では、脅威とは、機密性、完全性、可用性に悪影響を与える可能性のあるあらゆる状況、イベント、行為者、または状態を指します。脅威には、人的（外部攻撃者、内部関係者、第三者の侵害）、技術的（マルウェア、ランサムウェアキャンペーン、エクスプロイトキット）、運用（設定ミス、脆弱なプロセス、不十分な監視）、または環境的（停電、自然災害）のものがあります。これは、不正アクセスや情報漏洩がすでに発生した結果である侵害とは異なります。また、潜在的な損害のより広いカテゴリではなく、1種類の脅威行為者を指すハッカーとも異なります。ランサムウェアは、複数の損害源の一般的な用語ではなく、特定の脅威タイプ（データを暗号化して支払いを要求するマルウェア）です。サイバーセキュリティ文書では、一般的に「脅威」と「脆弱性」および「制御」がペアになっています。脅威は脆弱性を悪用してリスクを生み出します。制御策は、悪用される可能性、または悪用が発生した場合の影響を軽減します。「システムに損害を与える可能性のある複数の発生源」を特定することは、本質的に脅威の特定であり、セキュリティアーキテクチャ、監視、およびインシデント対策に役立てるリスク管理の初期段階から継続的なステップです。したがって、正しい概念は「脅威」です。

規制遵守は一般的に独立監査によって証明されます。これは、規制当局、顧客、およびパートナーが、必要な管理策が存在し、効果的に運用されているという客観的な証拠を要求するためです。独立監査は、評価対象となる管理策の運用に責任を負わない資格のある第三者によって実施されるため、信頼性が高まり、利益相反が軽減されます。サイバーセキュリティおよびガバナンスに関する文書では、監査は、法律、規制、契約上の義務、または管理フレームワークなどの定義された基準に対する遵守を検証するための正式な方法として説明されています。監査人は、ポリシーと手順を確認し、システム構成を検査し、アクセスおよび変更記録をサンプリングし、ログ記録と監視を評価し、インシデント対応の証拠をテストし、管理策が長期間にわたって一貫して実行されていることを検証します。その結果は通常、報告書、証明書、または是正計画を含む調査結果であり、これらは一般的に遵守を証明するために使用されます。
取締役会や経営陣によるレビューは、ガバナンスと監督を支えるものですが、それ自体では、統制が機能していることを独立して検証するものではありません。品質保証（QA）テストは、製品の品質と機能の正確性に焦点を当てており、セキュリティテストが含まれる場合もありますが、継続的な運用統制に関する規制上の証拠要件を満たすことは通常ありません。侵入テストは、悪用可能な脆弱性を特定する上で有効ですが、特定の時点における技術的な検証に過ぎず、アクセス統制、データ保持、研修、ベンダーの監督、継続的な監視といった、手続き、管理、運用上の要件への準拠を包括的に示すものではありません。したがって、独立監査は、正当かつ再現可能な方法でコンプライアンスを実証するための標準的な手段となります。

静止データとは、ネットワーク上を移動したり、処理されたりすることなく、保存されている情報を指します。これには、ノートパソコンやモバイルデバイス、サーバー、データベース、ファイル共有、リムーバブルメディア、バックアップテープ、ストレージアレイ、クラウドストレージサービスに保存されているデータが含まれます。静止データはストレージに保存されているため、主なリスクとしては、不正アクセス（不適切なアクセス権限、盗まれた認証情報、内部関係者による不正使用）、デバイスやメディアの盗難または紛失、設定ミス（公開されたストレージバケット、広すぎる共有ドライブ）などが挙げられます。また、システムが廃止されたり、ストレージが安全なデータ消去を行わずに再利用されたりする場合にも、静止データはリスクにさらされます。
サイバーセキュリティ文書では、階層的な制御を用いて保存データの保護を強調しています。保存データの暗号化により、適切な鍵がなければ保存ファイルやデータベースレコードを読み取ることができなくなり、ストレージが盗まれたり不正アクセスされたりした場合の影響を軽減できます。強力なアクセス制御と最小権限の原則により、保存データの読み取りや変更ができるユーザーを制限し、セグメンテーションとセキュアな構成によって情報漏洩経路を削減します。暗号化によるリスク軽減を効果的に行うためには、適切な鍵管理（暗号化データから鍵を分離し、鍵をローテーションし、鍵へのアクセスを制限する）が不可欠です。その他の制御策としては、データの分類と処理ルール、セキュアなバックアップ（不変バックアップや保護バックアップを含む）、機密性の高いリポジトリの監視と監査ログ記録、暗号化消去や検証済みワイプなどのセキュアな廃棄処理などが挙げられます。
選択肢AとBは、転送中のデータについて述べており、保存中のデータについては述べていません。選択肢Dは誤りです。保存されたデータは自動的に脆弱性が低くなるわけではなく、攻撃者にとって非常に魅力的な標的となることが多いため、意図的な保護が必要です。

デジタル著作権管理（DRM）とは、デジタルコンテンツがユーザーまたはデバイスに配信された後、そのコンテンツの利用が許可されている範囲を強制するために使用される一連の技術的メカニズムです。その主な目的は、著作権で保護された作品へのアクセス方法と利用方法を制御することであり、コピー、印刷、画面キャプチャ、転送、オフライン利用、デバイス制限、再配布などを制限することを含みます。DRMシステムは通常、コンテンツに暗号化を施した後、ライセンスおよびポリシーの強制コンポーネントに依存し、ユーザーまたはデバイスがコンテンツを開く権利を有しているかどうか、またどのような条件で開いているかを確認します。これらの条件には、時間ベースのアクセス（有効期限）、地理的制限、サブスクリプション状況、同時使用制限、変更およびエクスポートの制限などが含まれます。
これはオプションBと完全に一致します。なぜなら、DRMは基本的に、音楽、映画、電子書籍、ソフトウェア、保護されたメディアストリームなどの著作権で保護されたデジタル作品の使用制御に関するものだからです。サイバーセキュリティ関連の文書では、DRMはコンテンツ保護、著作権侵害対策、ライセンス遵守と並んで議論されることがよくあります。DRMは一般的なアクセス制御や監査ログとは異なります。アクセス制御は、誰がシステムにアクセスしたりリソースを開いたりできるかを決定するのに対し、監査は説明責任のためにアクションを記録します。DRMは、正当なユーザーが一度アクセスしたコンテンツで何ができるかを強制することで、単なるアクセス制御にとどまりません。
オプションAは監査ログについて、オプションCは一般的な承認とデータアクセス制御について説明しており、オプションDは広範な情報権利管理の目標に近いものの、著作物の使用と配布の制御に焦点を当てた標準的な定義よりも精度が低い。