外部監査とは、組織外の第三者が、セキュリティ関連の活動、統制、および証拠が定められた要件を満たしているかどうかを判断するために実施する独立した評価です。これらの要件は通常、法律や規制、契約上の義務、および認知された基準や統制フレームワークに基づいています。外部監査の決定的な特徴は、独立性と証明性です。つまり、監査人は評価対象となる運用チームの一員ではなく、コンプライアンスや統制の有効性について客観的な結論を提供します。
脆弱性に焦点を当てたレビュー（セキュリティ評価や技術監査と呼ばれることが多い）は、主に修正すべき弱点を探し出すのに対し、外部監査は、コントロールが適切に設計され、一貫して実装され、長期にわたって効果的に運用されているかどうかを重視します。外部監査人は通常、ガバナンスプロセス、リスク管理の実践、ポリシー、アクセス制御手順、変更管理、ログ記録と監視、インシデント対応の準備状況、および定期レビューの証拠を検証します。また、文書やサンプリング記録を検証し、記載されている内容が実際に実行されていることを確認します。
選択肢Bは、セキュリティチームが自らの実装を確認する自己評価や内部監査準備などの内部保証活動を説明しています。選択肢Cは財務レビューや調達レビューに近く、外部セキュリティ監査の典型的な定義ではありません。したがって、確立された基準への準拠を確保するために独立した第三者がセキュリティ活動をレビューすることを明確に捉えている選択肢が最良の回答となります。

ビジネスアナリストは、ビジネスプロセスが孤立していることはほとんどなく、アプリケーション、インターフェース、データ交換、IDサービス、共有インフラストラクチャに依存しているため、「現状」のテクノロジーを文書化します。サイバーセキュリティの観点から、1つのソリューションを置き換えると、信頼境界、認証フロー、認可決定、ログ記録範囲、統合システム間でのデータ移動が意図せず変更される可能性があります。オプションBが正解です。現在のテクノロジー環境を理解することで、上流のデータプロバイダー、下流の消費者、サードパーティサービス、既存システムに依存する内部プラットフォームなど、バリューチェーン全体でセキュリティへの影響が発生する可能性のある場所を特定するのに役立ちます。
サイバーセキュリティ文書では、統合ポイントが一般的な攻撃対象領域であることが強調されています。API、ファイル転送、メッセージキュー、シングルサインオン、バッチジョブ、共有データベースなどは、アクセス制御の不備、安全でないデータ送信、データ漏洩、権限昇格、監視の不備といったリスクを引き起こす可能性があります。ビジネスアナリストが現在の統合、依存関係、データフローを把握していれば、デリバリーチームは脅威モデリングを適切に実行し、セキュリティ要件を定義し、他のシステムが依存する補完的な制御を損なうことを回避できます。これはまた、安全な廃止、移行、切り替えの計画にも役立ち、認証情報、キー、サービスアカウント、ネットワークパスが適切にローテーションまたは削除されることを保証します。
他の選択肢は、この質問に対してあまり的確ではありません。トレーニングは、最新技術を文書化する主要な動機ではありません。ガバナンス要件は広く適用されますが、最新技術を含める必要がある理由を説明するものではありません。データ分類は重要ですが、統合セキュリティへの影響を評価するために必要な技術依存関係を把握することとは別の活動です。

OSIセッション層（第5層）は、通信を行うアプリケーション間のセッションの確立、管理、および終了を担当します。セッションとは、2つのエンドポイントが通信の開始、継続、終了方法を調整できるようにする論理的な対話です。これには、誰がいつ送信できるかといった「会話」の状態の制御、セッションをアクティブな状態に保つための維持、そして不要になったセッションの適切な終了が含まれます。そのため、オプションAがセッション層の主要な役割に最もよく合致しています。
一方、受信側が認識できる形式でデータを提示するのはプレゼンテーション層（第6層）の役割であり、フォーマット、エンコード、圧縮、そして多くの場合暗号化変換の概念を扱います。パケットに適切なネットワークアドレスを追加するのはネットワーク層（第3層）の役割であり、ここでは論理アドレス指定とルーティングの決定が行われ、通常はIPアドレス指定に関連付けられます。媒体上でのデータ伝送は物理層（第1層）で処理され、信号、ケーブル、およびビットの実際の移動に関係します。
サイバーセキュリティの観点から、セッション管理は重要です。なぜなら、セッション識別子が予測可能であったり、保護されていなかったり、適切に無効化されていなかったりすると、脆弱性によってセッションハイジャック、リプレイ攻撃、またはセッション固定攻撃が発生する可能性があるからです。一般的に、強力な認証、安全なセッショントークンの生成、タイムアウトと再認証ルール、および適切なセッション終了といった対策を講じることで、リスクを軽減できます。

個人情報は、主に不正開示によって生じる可能性のある損害に基づいて分類され、これは機密保持という目的に直接結びついています。サイバーセキュリティとプライバシーガバナンスのフレームワークでは、個人データは機密情報として扱われます。なぜなら、漏洩すると、なりすまし、詐欺、差別、個人の安全リスク、プライバシーの侵害につながる可能性があるからです。組織は、個人データが無許可で開示された場合、規制上の罰則、契約上の影響、評判の低下にも直面します。そのため、分類を決定する際に、最初にして最も重要な質問は通常、「このデータが、本来知る権利のない人物に知られた場合、どのような影響があるか？」です。この影響評価に基づいて、必要な保護レベルと取り扱い規則が決定されます。
機密性を重視した管理策は、分類決定に基づいて実施されます。これには、最小権限の原則と役割に基づくアクセス制御、強力な認証、保存時および転送時の暗号化、安全な鍵管理、必要に応じたデータ損失防止、機密性の高い記録へのアクセスのログ記録と監視、厳格な共有／転送手順などが含まれます。
個人情報にとって完全性と可用性は重要ですが、分類の決定においては通常、二次的な要素となります。完全性は信頼性と正確性（例えば、医療データや給与データの誤り）に影響し、可用性は必要なときに記録にアクセスできるかどうかに影響します。しかし、個人情報の機密性を定義する上で最も重要なのは、不適切に開示されてはならないということです。「アクセス可能性」は、標準的な分類モデルで使用される主要なセキュリティ目標ではなく、機密性が確立された後にアクセス設計を通じて管理される運用上のユーザビリティ概念です。

ビジネスアナリストは、セキュリティとプライバシーに関する期待を明確でテスト可能な要件に変換し、ソリューションに組み込むことで、サイバーセキュリティコンプライアンスを主にサポートします。これには、適用可能な組織のセキュリティポリシー、標準、および制御目標を引き出し、認証方法、ロールベースのアクセス、ログ記録と監査証跡のニーズ、暗号化要件、セッション制御、データ保持、職務分掌などの機能要件と非機能要件にマッピングすることが含まれます。セキュリティポリシーがソリューション要件に反映されると、それらはデリバリーライフサイクルの一部となり、設計、実装、テストでの検証、および受け入れ時の確認が可能になります。これにより、ポリシーから要件、制御の実装に至るまでのトレーサビリティが確保され、監査やデューデリジェンスの証明に不可欠となります。
オプションAは通常、ガバナンス、リスク、コンプライアンス機能、または内部監査の責任であり、ビジネスアナリスト（BA）の責任ではありません。オプションCは通常、セキュリティテストスペシャリスト、QAチーム、またはアプリケーションセキュリティエンジニアがSAST、DAST、侵入テストなどの手法を使用して実行します。オプションDは主に運用管理とコンプライアンスの執行機能であり、トレーニング、監視、懲戒プロセスによってサポートされます。BAの明確な役割は、ポリシー主導のセキュリティ制御が要件に反映され、ソリューションの設計と提供成果物に組み込まれることを保証することです。