CSA STARレジストリは、一般的なクラウドコンピューティングサービスが提供するセキュリティとプライバシーの管理状況を文書化した、公開レジストリです。このレジストリは、クラウド固有のセキュリティのベストプラクティスのフレームワークであるCloud Controls Matrix（CCM）と、クラウドサービスプロバイダー向けのプライバシー原則であるGDPR行動規範に基づいています。このレジストリを利用することで、クラウドの顧客はクラウドサービスプロバイダーのセキュリティとコンプライアンスの体制を評価し、保証レベルに基づいて複数のプロバイダーを比較することができます。また、このレジストリは、複数の顧客アンケートや提案依頼書（RFP）に記入する際の複雑さとコストを軽減します。したがって、プロバイダーの負担を軽減するための最善の推奨事項は、顧客からのすべての問い合わせをCSA STARレジストリの情報に誘導することです。これにより、プロバイダーの透明性、信頼性、業界標準への準拠を実証できます。プロバイダーは、顧客にCCMに基づく標準化された一連の質問であるConsensus Assessments Initiative Questionnaire（CAIQ）を使用してプロバイダーのセキュリティ管理を評価するよう促すこともできます。あるいは、プロバイダーは、サードパーティの監査や継続的な監視などのより高いレベルの保証を追求して、セキュリティとプライバシーの慣行をさらに検証し、顧客の信頼を高めることができます。
参照：
STARレジストリ | CSA
スター | CSA
CSA Security Trust Assurance and Risk (STAR) レジストリが注目すべきレベルに到達...
CSA STARがクラウドサービスプロバイダーにとって重要な理由 - A-LIGN

ISACAクラウド監査知識認定試験学習ガイドによると、クラウド監査の計画段階におけるクラウド監査人の第一目標は、監査目標1の達成です。監査目標とは、クラウドサービスがクラウド顧客のセキュリティ、コンプライアンス、パフォーマンス、可用性の要件を満たしているかどうかなど、監査によって回答を求める具体的な質問です。監査目標は、組織の状況、リスク許容度、そして期待値と整合している必要があります。また、監査目標は明確で、測定可能、達成可能、関連性があり、タイムリーである必要があります。
その他の選択肢は、クラウド監査の計画段階におけるクラウド監査担当者の主な目標ではありません。選択肢Aは実施可能な活動ですが、計画段階の主な目標ではありません。適切なテストは、監査の目的、基準、および方法論に基づいて決定されます。選択肢Cは制約となる可能性がありますが、計画段階の主な目標ではありません。監査リソースは、監査の範囲、複雑さ、および重要性に基づいて割り当てる必要があります。選択肢Dは結果となる可能性がありますが、計画段階の主な目標ではありません。十分な証拠は、監査計画に基づき、監査の実行段階で収集されます。参考：
ISACA クラウド監査知識証明書学習ガイド、12 ～ 13 ページ。

CSA の Web サイトによると、CSA STAR プログラムのオープン認証フレームワーク (OCF) の主な目的は、クラウド プロバイダーのグローバルで認定された信頼できる認証を提供することです。1 OCF は、クラウド プロバイダーのグローバルで信頼できる独立した評価を可能にする業界の取り組みです。これは、クラウド セキュリティ アライアンスの業界をリードするセキュリティ ガイダンスと制御フレームワークに従った、柔軟で段階的かつ多層的なクラウド プロバイダー認証および/または証明のためのプログラムです。2 OCF は、プロバイダーの回復力、データ保護、プライバシー、およびサービスの移植性を評価および比較するためのシンプルで費用対効果の高い方法の欠如など、安全で信頼性の高いクラウド サービスの市場導入を妨げている IT エコシステム内のギャップに対処することを目的としています。2 OCF はまた、業界の透明性を促進し、プロバイダーと顧客の両方にとっての複雑さとコストを削減することも目指しています。3 その他の選択肢は、次の理由により正しくありません。
選択肢Aは不正解です。クラウドサービスプロバイダーとクラウドクライアント間の効果的な関係構築を促進することは、CSA STARプログラムにおけるOCFの主目的ではなく、むしろ潜在的なメリットまたは成果の一つです。OCFは、プロバイダーのセキュリティとコンプライアンスの状況を評価・伝達するための共通言語とフレームワークを提供し、プロバイダーの能力とパフォーマンスに対する信頼と確信を高めることで、プロバイダーとクライアント間の効果的な関係構築を支援します。しかし、これはOCFの主な目標や目的ではなく、それを達成するための手段に過ぎません。
選択肢Bは不正解です。クラウドサービス利用者が真のリスクと認識しているリスクを確実に理解できるようにすることは、CSA STARプログラムにおけるOCFの主目的ではなく、むしろOCFの潜在的な影響または結果に過ぎません。OCFは、プロバイダーのセキュリティとコンプライアンスレベルに関する客観的かつ検証可能な情報と証拠を提供し、市場における他のプロバイダーとの比較やベンチマークを可能にすることで、クラウドサービス利用者が真のリスクと認識しているリスクを確実に理解できるように支援します。しかし、これはOCFの主な目的や意図ではなく、OCFの結果または効果に過ぎません。
選択肢Dは不正解です。クラウドサービスプロバイダーが自社の要件を満たすためにリソースの優先順位付けを可能にすることは、CSA STARプログラムにおけるOCFの主目的ではなく、むしろOCFにとっての潜在的なメリットまたは機会となるからです。OCFは、柔軟で段階的かつ多層的な認証および／または証明アプローチを提供することで、クラウドサービスプロバイダーが自社の要件を満たすためにリソースの優先順位付けを可能にします。これにより、プロバイダーは自社のビジネスニーズと目標に適した保証レベルを選択できます。しかし、これはOCFの主な理由や動機ではなく、むしろOCFの利点または選択肢の一つです。

RACIチャートは、プロセス、プロジェクト、または運用における役割と責任を明確にするためのツールです。クラウドコンプライアンスの観点から、これらの責任をRACIチャートに文書化することで、企業内のすべての関係者が法令遵守に関する具体的な義務を認識できるようになります。これにより、組織の各部門が全体的なコンプライアンスにどのように貢献しているかを明確かつ体系的に把握し、より適切な調整と説明責任を促進できます。
参考資料 = この回答は、クラウドのコンプライアンスとガバナンスにおける一般的なベストプラクティスに基づいています。これらのベストプラクティスでは、責任を明確に区分するためにRACIチャートや類似のツールの使用が推奨されています。CCAKや関連リソースの具体的な文書を参照することはできませんが、これらのプラクティスはクラウドセキュリティとコンプライアンスの分野で広く受け入れられています。

パスワードポリシーの有効性を測定する最も適切な目標は、新しく作成されたアカウント認証情報が要件を満たしているかどうかです。これは、パスワードポリシーが、システムまたはネットワークにおけるパスワードの特性と使用方法を定義する一連のルールとガイドラインであるためです。パスワードポリシーは、不正アクセス、データ漏洩、個人情報の盗難を防ぐことで、システムまたはネットワークのセキュリティと機密性を高めることを目的としています。したがって、パスワードポリシーの有効性を評価する最良の方法は、新しく作成されたアカウント認証情報が、長さ、複雑さ、有効期限、履歴などのポリシーの要件を満たしているかどうかを確認することです。この目標は、アカウント作成プロセスの定期的な監査、レビュー、またはテストを実施し、パスワードがポリシー標準に準拠していることを確認することで測定できます。これは、クラウド・コントロール・マトリックス（CCM）のドメイン「IAM-02：ユーザーID認証情報」の一部であり、「組織は、クラウドサービスおよびデータのユーザーID認証情報を管理するためのポリシーと手順を備えるべきである」と規定されています。1 参考文献：
= CCAK学習ガイド、第4章：CCMを使用したクラウドの脅威分析方法論、76ページ