ベースライン構成の変更に関するサービスレベル契約（SLA）を実装することは、クラウドベンダーがソリューションに新機能を追加することで、組織に不必要なリスクを誤ってもたらす可能性から生じるリスクを管理する最も重要な方法です。サービスレベル契約（SLA）とは、クラウドベンダーが組織に提供するサービス、パフォーマンス、品質の期待レベルを定義する契約、または契約の一部です。SLAでは、役割と責任、連絡チャネル、エスカレーション手順、違反に対する罰則や救済措置についても規定できます12。
ベースライン構成の変更に関する SLA を実装すると、適切なテスト、検証、または通知を行わずにソリューションに新機能を追加する可能性のあるクラウドベンダーからのリスクを組織が管理するのに役立ちます。ベースライン構成とは、システムまたはネットワークのセキュリティとパフォーマンスを測定および維持するために使用される標準または参照設定です。ベースライン構成を変更すると、システムまたはネットワークの機能、可用性、またはセキュリティに影響を及ぼす可能性のある新しい脆弱性、エラー、または非互換性が生じる可能性があります34。したがって、SLA は、リスク評価、影響分析、承認、ドキュメント化、通知、テスト、およびロールバックなどの手順を含む変更管理プロセスをクラウドベンダーが遵守していることを組織が確認するのに役立ちます。また、SLA は、クラウドベンダーによる変更を組織が監視および検証し、それによって発生する可能性のある問題やインシデントを報告して解決するのにも役立ちます。
その他のオプションは、ソリューションに新機能を追加する可能性のあるクラウドベンダーからのリスクを管理する最も効果的な方法ではありません。オプション A のクラウド オーケストレーション ツールを使用して新機能を導入することは、クラウド オーケストレーション ツールが複雑なクラウド サービスとリソースの導入と管理を自動化および調整するために使用されるため、リスクを管理する良い方法ではありません。クラウド オーケストレーション ツールは、クラウドベンダーによって追加された新機能が必要か、安全か、組織のシステムまたはネットワークと互換性があるかという問題には対処しません。オプション B のベンダーの事前デューデリジェンスの実行は、リスクを管理する良い方法ではありません。事前デューデリジェンスは、潜在的なクラウドベンダーと契約を締結する前に、その背景、評判、機能、コンプライアンスを評価および検証するプロセスであるためです。事前デューデリジェンスは、契約締結後にクラウドベンダーがソリューションの変更にどのように対応するかという問題には対処しません。オプションC、つまりベンダー契約において責任を明確化する方法は、リスク管理の適切な方法とは言えません。なぜなら、ベンダー契約において責任を明確化するプロセスは、クラウドサービスの提供とパフォーマンスに関する両当事者の役割と義務を定義し、割り当てるプロセスだからです。ベンダー契約において責任を明確化するだけでは、クラウドベンダーがソリューションの変更について組織とどのようにコミュニケーションを取り、調整するかという問題には対処できません。参考文献:
* SLAとは？サービスレベル契約のベストプラクティス | CIO1
* サービスレベル契約 - クラウドセキュリティアライアンス2
* ベースライン構成とは？ - Techopedia3 からの定義
* ベースライン構成 - クラウド セキュリティ アライアンス4
* 変更管理 - クラウド セキュリティ アライアンス
* インシデント対応 - クラウドセキュリティアライアンス
* クラウドオーケストレーションとは？ - Techopediaの定義
* デューデリジェンス - クラウドセキュリティアライアンス
* 契約上のセキュリティ要件 - クラウド セキュリティ アライアンス

SOC 2 タイプ2レポートは、クラウドサービスプロバイダにとって最も包括的なレポートであり、サービス組織のコントロールの設計と運用の有効性を一定期間にわたって評価します。このタイプのレポートは、サービスプロバイダによって処理されるデータのセキュリティ、可用性、処理の整合性、機密性、またはプライバシーに関する保証を必要とする顧客のニーズを満たすことを目的としています1234。
参考 = クラウド サービス プロバイダーにとっての SOC 2 タイプ 2 レポートの重要性は、ISACA や Cloud Security Alliance が提供するものを含むさまざまなリソースで説明されており、コントロールの運用有効性を確保するためにこのようなレポートが必要であることが強調されています5678。

クラウドリスク評価フレームワークの最初のステップは、主要なリスクカテゴリーを特定することです。主要なリスクカテゴリーとは、クラウドサービスプロバイダーとクラウドサービス顧客に影響を与える可能性のある、クラウドセキュリティとコンプライアンスの広範な領域またはドメインを指します。主要なリスクカテゴリーには、データセキュリティ、IDおよびアクセス管理、暗号化と鍵管理、インシデント対応、災害復旧、監査保証、コンプライアンスなどが含まれます。主要なリスクカテゴリーを特定することで、クラウドリスク評価プロセスの範囲と焦点を絞り込み、関連性と重要性に基づいてリスクの優先順位付けとランク付けを行うことができます。また、主要なリスクカテゴリーを特定することで、クラウドセキュリティとコンプライアンスを管理する適用可能な標準、規制、またはフレームワークとリスクを整合させ、マッピングすることもできます12。
潜在的な影響と発生可能性（A）の分析は、クラウドリスク評価フレームワークの最初のステップではなく、3番目のステップです。潜在的な影響と発生可能性の分析は、リスクイベントがビジネス目標、業務、プロセス、または機能に及ぼす結果または影響（影響度）と、リスクイベントが発生する確率または頻度（発生可能性）を推定するプロセスです。潜在的な影響と発生可能性の分析は、リスクイベントの重大性または規模を測定および定量化するだけでなく、影響と発生可能性に基づいてリスクの優先順位付けとランク付けを行うのに役立ちます12。
クラウドリスクプロファイル（B）の確立は、クラウドリスク評価フレームワークの最初のステップではなく、むしろ2番目のステップです。クラウドリスクプロファイルの確立とは、組織がクラウドサービスに関して受け入れる、または許容するリスクの想定レベル（リスク選好度）と、組織がクラウドサービスに関して直面する、または遭遇する実際のリスクレベル（リスクエクスポージャー）を定義し、文書化するプロセスです。クラウドリスクプロファイルの確立は、クラウドセキュリティとコンプライアンスの目的、期待、責任を決定し、伝達するだけでなく、それらをビジネス戦略と目標と整合させ、統合するのに役立ちます12。
リスクの評価と文書化は、クラウドリスク評価フレームワークの最初のステップではなく、4番目のステップです。リスクの評価と文書化とは、リスク事象を防止、回避、移転、または受容するために実装または適用された管理策または措置の有効性と効率性を評価し、報告するプロセス（リスク対応）であり、また、発生する可能性のあるギャップや問題を特定し、対処するプロセス（リスク監視）でもあります。リスクの評価と文書化は、実際のリスクレベルが望ましいリスクレベルと一致していることを確認するだけでなく、リスク管理戦略と計画を更新・改善するのに役立ちます12。参考文献:
* クラウド監査の知識：CCAK認定試験の準備
* クラウドリスク - 10 の原則と評価フレームワーク - ISACA

Cloud Security Alliance のブログ記事「継続的な監査と継続的な認証」によると、認証ターゲットは、テストする範囲の説明とセキュリティ属性を組み込むことで、継続的な認証フレームワークの形成に役立ちます1 認証ターゲットとは、クラウド サービス プロバイダー (CSP) が継続的な認証プロセスの一環として定義し、達成することを約束する一連のセキュリティ目標です1 各セキュリティ目標は、4 時間ごと、毎日、毎週など、評価頻度を指定するポリシーに関連付けられています1 認証ターゲットには、自動化されたスクリプト、API、サードパーティのサービスなど、セキュリティ目標が満たされていることを検証できる一連のツールも含まれます1 その他のオプションは、次の理由により正しくありません。
選択肢Aは不正解です。サービスレベル目標（SLO）とサービス品質目標（SQO）は認証目標の一部ではなく、CSPとクラウド顧客間のサービスレベル契約（SLA）の一部です。SLOは、可用性、パフォーマンス、信頼性など、クラウドサービスの測定可能な特性です。SQOは、セキュリティ、プライバシー、コンプライアンスなど、クラウドサービスの質的特性です。SLAは、期待されるサービスレベルと、それを達成できなかった場合の結果を定義します。SLAは認証目標を定義するための入力情報として使用できますが、認証目標と同等または同義ではありません。
選択肢Cは不正解です。セキュリティ属性の評価頻度は、認証対象を構成する唯一の要素ではなく、むしろその一側面に過ぎません。セキュリティ属性の評価頻度は、認証対象内の各セキュリティ目標に関連付けられたポリシーによって決定されます。このポリシーは、ツールによってセキュリティ目標を検証する頻度（4時間ごと、毎日、毎週など）を定義します。ただし、頻度だけでは認証対象は定義されません。評価頻度は、スコープの説明やテスト対象となるセキュリティ属性にも依存するからです。
選択肢Dは不正解です。CSA STAR レベル2認証は認証目標の構成要素ではなく、認証目標の前提条件です。CSA STAR レベル2認証は、ISO/IEC 27001およびCSA Cloud Controls Matrix（CCM）3に基づくCSPのセキュリティ体制に関する第三者による独立した評価です。CSA STAR レベル2認証は、CSPが継続的な認証のための認証目標を定義し実装する前に、ベースラインの保証レベルを提供します。CSA STAR レベル2認証は、継続的な監査と継続的な認証に基づくCSA STAR レベル3認証にも必須です。3