クラウドリスク管理プログラムと従来のリスク管理プログラムの最大の違いは、責任共有モデルです。責任共有モデルとは、クラウドサービスモデルの種類（IaaS、PaaS、SaaS）に応じて、クラウドサービスプロバイダーとクラウドサービス利用者の間でセキュリティとコンプライアンスの責任を分担するものです。責任共有モデルでは、クラウドサービスが必要なセキュリティとコンプライアンスのレベルを満たしていることを保証し、クラウド環境から生じる可能性のあるリスクを特定して軽減するために、両者が協力し、調整する必要があることを意味します123。
ITランドスケープの仮想化（A）は、クラウドリスク管理プログラムと従来のリスク管理プログラムの違いの一つですが、最も重要な違いではありません。ITランドスケープの仮想化とは、サーバー、ストレージ、ネットワーク、アプリケーションなどの物理的なITリソースを、インターネット経由でアクセス・管理可能な仮想リソースに抽象化することを指します。ITランドスケープの仮想化により、クラウドサービスプロバイダーは、クラウドサービス顧客に拡張性、柔軟性、効率性に優れたクラウドサービスを提供できるようになります。しかし、ITランドスケープの仮想化は、データ漏洩、不正アクセス、構成ミス、パフォーマンス低下といった新たなリスクももたらします123。
クラウド サービス プロバイダーが採用するリスク管理プラクティスは、クラウド リスク管理プログラムと従来のリスク管理プログラムの違いですが、最も重要な違いではありません。
クラウドサービスプロバイダーが採用するリスク管理プラクティスとは、クラウドサービスに影響を与えるリスクを特定、評価、対応、監視、報告するためにクラウドサービスプロバイダーが用いる手法または技術を指します。クラウドサービスプロバイダーが採用するリスク管理プラクティスには、セキュリティとコンプライアンスの姿勢を示すポリシー、標準、手順、管理、監査、認証、または証明が含まれる場合があります。しかし、クラウドサービスプロバイダーが採用するリスク管理プラクティスは、クラウドセキュリティとコンプライアンスのあらゆる側面を網羅していない可能性があり、また、クラウドサービス顧客の期待や要件と一致していない可能性があるため、それだけでは十分ではなく、信頼できるものでもありません123。
クラウド環境での機密情報のホスティング（D）は、クラウドリスク管理プログラムと従来のリスク管理プログラムの違いの一つですが、最も重要な違いではありません。クラウド環境での機密情報のホスティングとは、クラウドサービスプロバイダーが所有・運営するクラウドインフラストラクチャまたはプラットフォームにおいて、機密情報、個人情報、または貴重なデータを保存または処理することを指します。
機密情報をクラウド環境にホストすることで、コスト削減、アクセス性、可用性、バックアップなどのメリットが得られます。しかし、機密情報をクラウド環境にホストすることは、データ漏洩、プライバシー侵害、コンプライアンス違反、法的紛争などのリスクも伴います123。参考文献:
* クラウドリスク管理 - ISACA
* クラウド リスク管理: セキュリティ専門家のための入門書 - Infosec ...
* クラウド リスク管理: セキュリティ専門家のための入門書 - Infosec ...

Infrastructure as a Service（IaaS）クラウドサービスプロバイダーがオンプレミス監査を許可していない場合、監査人は顧客のコントロールを評価するために代替データソースを活用するなど、適応していく必要があります。これには、自動化ツール、サードパーティの認証、サービスプロバイダーが提供するその他の形式の保証などが含まれます。このアプローチにより、監査人はプロバイダーのインフラストラクチャに直接物理的にアクセスすることなく、クラウドサービスのセキュリティ体制とコンプライアンスを評価できます。
参考資料 = Cloud Security Alliance（CSA）は、オンプレミス監査が不可能な場合の代替データソースの利用など、効果的なクラウド監査の実施方法に関するガイドラインを提供しています1。さらに、Certificate of Cloud Auditing Knowledge（CCAK）に関する議論では、監査戦略をクラウド環境に適応させることの重要性が強調されています2。

クラウドサービスプロバイダーの契約および規約に関しては、特に明記されていない限り、プロバイダーはクラウド顧客に対してのみ責任を負います。つまり、プロバイダーは、サービスの直接の支払者であるクラウド顧客と合意されたサービスを提供し、サービスレベル契約（SLA）を遵守する契約上の義務を負います。契約に明示的に規定されていない限り、プロバイダーはクラウド顧客のクライアント、エンドユーザー、規制当局など、その他の当事者に対して責任を負いません。クラウド顧客は、プロバイダーのサービスが自社のコンプライアンスおよびセキュリティ要件、ならびにステークホルダーの要件を満たしていることを確認する責任を負います12。
参考文献:
* クラウドにおける責任の共有 - Microsoft Azure
* クラウドセキュリティの責任共有モデル - NCSC

クラウド・コントロールズ・マトリックス（CCM）は、クラウドコンピューティング環境向けに特別に設計されたサイバーセキュリティ管理フレームワークです。CCMを使用する主なメリットは、既存のセキュリティ標準、ベストプラクティス、そして規制とのマッピングです。このマッピングにより、組織はクラウドセキュリティ体制を業界で認められたフレームワークに準拠させることができ、コンプライアンスとセキュリティ確保の取り組みを円滑に進めることができます。CCMの包括的な管理目標は、クラウドテクノロジーのあらゆる主要な側面を網羅し、クラウドサプライチェーン内の様々な関係者がどのようなセキュリティ管理を実施すべきかについてのガイダンスを提供します。
参考資料 = この回答は、Cloud Controls Matrix ドキュメントおよび関連リソースで提供される情報によって裏付けられています。これらのドキュメントおよび関連リソースでは、CCM と他のセキュリティ標準との整合性、および組織がクラウド セキュリティとコンプライアンスの複雑な状況に対応できるようにするための CCM の役割が強調されています12。