CSA STAR レジストリは、一般的なクラウド コンピューティング サービスによって提供されるセキュリティとプライバシーの制御を文書化した、公開されているレジストリです。1 このレジストリは、クラウド サービスのユーザーが、クラウド プロバイダーが遵守している規制、標準、フレームワークなどのセキュリティとコンプライアンスの姿勢を評価できるように設計されています。1 また、このレジストリは業界の透明性を促進し、プロバイダーと顧客の両方の複雑さとコストを軽減します。2 プロバイダーは、すべての顧客からの問い合わせを CSA STAR レジストリの情報に誘導できます。これがプロバイダーの負担を軽減するための最善の推奨事項となるからです。レジストリに公開することで、プロバイダーは複数の顧客アンケートや提案依頼書 (RFP) に記入することなく、現在の顧客と潜在的顧客に対してセキュリティとコンプライアンスの姿勢を示すことができます2。プロバイダーはまた、自己評価、第三者監査、認証など、レジストリで利用できるさまざまなレベルの保証を活用して、セキュリティの成熟度と信頼性を実証することもできます1。プロバイダーはまた、CSA の信頼できるクラウド プロバイダー プログラムからも恩恵を受けることができます。このプログラムは、クラウド セキュリティの能力と業界のベスト プラクティスへの取り組みを実証し、CSA による追加のトレーニングとボランティア要件を満たしたプロバイダーを認定します3。その他のオプションが不正解な理由:
オプションAは不正解です。プロバイダーが各顧客との電話会議をスケジュールすることは、プロバイダーの負担を軽減するための良い推奨事項とは言えません。特にプロバイダーが毎月複数の問い合わせやRFPを受け取っている場合、各顧客との電話会議をスケジュールすることは時間がかかり、非効率的で、現実的ではありません。また、電話会議をスケジュールしても、顧客が追加情報や証拠を求める可能性があるため、プロバイダーのセキュリティとコンプライアンスの姿勢に満足するとは限りません。また、電話会議をスケジュールしても、セキュリティの成熟度と信頼性を効果的にアピールできない可能性があるため、プロバイダーが市場の他のプロバイダーとの差別化を図ることにもつながりません。
選択肢Bは不正解です。プロバイダーがすべてのセキュリティレポートを顧客と共有してプロセスを合理化することは、プロバイダーの負担を軽減するための良い推奨事項とは言えません。一部のレポートには、外部に開示すべきではない機密情報や秘密情報が含まれている可能性があるため、すべてのセキュリティレポートを顧客と共有することは現実的ではない可能性があります。また、一部のレポートは古くなっていたり、不完全であったり、一貫性がなかったりする可能性があり、プロバイダーの信頼性と評判を損なう可能性があるため、すべてのセキュリティレポートを共有することは望ましくない場合もあります。さらに、一部の顧客にはレポートを適切に確認して理解するための専門知識やリソースがない場合もあるため、すべてのセキュリティレポートを共有することは効果的ではない可能性があります。
選択肢Cは不正解です。プロバイダーが各顧客に個別に回答することは、プロバイダーの負担を軽減するための良い提案とは言えません。各顧客に個別に回答することは、プロバイダーが異なる顧客に類似または同一の情報を何度も提供しなければならないため、面倒で反復的な作業となり、コストもかかります。また、各顧客に個別に回答すると、回答に誤りや漏れが生じる可能性があるため、プロバイダーのセキュリティとコンプライアンスの姿勢の一貫性と正確性を確保できません。また、各顧客に個別に回答すると、セキュリティに関する実績や認定資格をアピールできない可能性があるため、プロバイダーが市場の他のプロバイダーから際立つことにもつながりません。

継続的監査とは、定期的なスナップショットや証明に頼るのではなく、クラウド環境における統制とコンプライアンスの現状を保証する監査手法です。継続的監査では、継続的な監視データと自動化ツールを活用してコンプライアンスの証拠を収集・分析し、逸脱や問題を監査人や関係者に警告することができます。継続的監査は、クラウド環境における統制とコンプライアンスの有効性に関するフィードバックをよりタイムリーかつ頻繁に提供することで、認証や監査などのポイントインタイムの保証アプローチを補完することができます。参考文献：ISACA、『Certificate of Cloud Auditing Knowledge (CCAK) Study Guide』、2021年、821ページ ISACA、『Cloud Auditing Knowledge: Preparing for the CCAK Certificate Exam』、2021年、30ページ

監査人の観点から見ると、シャドーITは事業継続計画を脅かすリスクと捉えるのが最も適切です。シャドーITとは、組織のIT部門の管理下にない、または承認されていないIT関連のハードウェアまたはソフトウェアの使用を指します。これは、ITインフラストラクチャの可視性の欠如や、セキュリティおよびコンプライアンス対策における潜在的なギャップにつながる可能性があります。事業継続計画の観点から見ると、シャドーITは、組織の災害復旧計画や事業継続計画で考慮されていない未知のリスクや脆弱性をもたらし、混乱発生時に重要な機能を維持または迅速に再開する組織の能力に脅威をもたらす可能性があります。
参考資料 = この回答は、シャドーITのリスクと事業継続計画への影響に関する一般的な知識に基づいています。ISACAおよびクラウドセキュリティアライアンス（CSA）によるクラウド監査知識（CCAK）文書および関連リソースからの具体的な参考資料は、私の現在の能力では外部文書やウェブサイトのコンテンツにアクセスしたり検証したりすることができないため、ここでは直接引用していません。ただし、シャドーITが事業継続に対するリスクであるという概念は、ITガバナンスおよび監査実務において認識されている懸念事項です1234。