組織のクラウドコンプライアンスプログラムから特定されたリスクの是正に関する社内関係者の意思決定プロセスを最も強化するには、所有権と説明責任を確立することが重要です。クラウドコンプライアンスとは、クラウドで提供されるシステムが顧客が求める標準に準拠しなければならないという原則を指します。コンプライアンス要件には、HIPAA、PCI DSS、GDPR、ISO/IEC 27001、NIST、SOX法などのデータ保護規制が含まれる場合があります。クラウドコンプライアンスプログラムとは、組織がこれらの要件へのコンプライアンスを達成し、維持するのに役立つ一連のポリシー、手順、および管理策です12。
クラウドコンプライアンスプログラムは、クラウドサービスの利用に関連するリスクを特定、評価、優先順位付け、そして軽減することから成ります。これらのリスクを効果的に管理するためには、組織は各リスクとその改善策に対するオーナーシップとアカウンタビリティを確立する必要があります。オーナーシップとアカウンタビリティとは、クラウドサービスプロバイダ、クラウド顧客、クラウドユーザー、クラウド監査人、クラウド規制当局など、クラウドコンプライアンスプログラムに関与する社内関係者に明確な役割と責任を割り当てることを意味します。これにより、組織は社内関係者がリスクの改善に向けてタイムリーかつ十分な情報に基づいた意思決定を行うための権限、リソース、そしてインセンティブを確保することができます123。
その他の選択肢は、リスク是正のための社内ステークホルダーの意思決定プロセスを強化するための最も効果的な方法ではありません。選択肢A（リスク監視および報告プロセスの自動化）は、クラウドコンプライアンスプログラムの効率性と精度を向上させるためのグッドプラクティスですが、監視および報告結果に基づく意思決定の責任者が誰であるかという問題には対処していません。選択肢B（新たな脅威を上級ステークホルダーに報告する）は、クラウドコンプライアンスプログラムの認識と可視性を高めるためのグッドプラクティスですが、新たな脅威の優先順位付けと対応方法という問題には対処していません。選択肢D（マルチクラウド環境の主要リスク指標（KRI）の監視）は、クラウドコンプライアンスプログラムのパフォーマンスと有効性を測定および追跡するためのグッドプラクティスですが、異なるクラウド環境間で意思決定をどのように調整・整合させるかという問題には対処していません。123. 参考文献：クラウドコンプライアンスフレームワーク：知っておくべきこと1、クラウドコンプライアンス：概要 + ITを改善するための8つのベストプラクティス2、クラウドコンピューティング：監査の課題 - ISACA

説明
クラウド・コントロール・マトリックス（CCM）を用いてコンプライアンス評価を実施する組織は、スコープ適用性ダイレクトマッピングを活用して、CCMに含まれるコントロールのうち、他の規格への準拠により既に部分的または完全に実装されている可能性のあるコントロールを把握します。スコープ適用性ダイレクトマッピングは、CCM内のワークシートであり、CCMコントロール仕様をISO/IEC 27000シリーズの複数の規格（ISO/IEC 27001、ISO/IEC 27002、ISO/IEC 27017、ISO/IEC 27002など）にマッピングします。
27018. このマッピングは、組織がCCMとISO/IEC規格の共通点と相違点を特定し、CCM管理策の実装に基づいて各規格への準拠レベルを決定するのに役立ちます。また、マッピングは組織が作業の重複を回避し、コンプライアンス評価プロセスを合理化するのに役立ちました。12 参考文献：知っておくべきこと：CSA STAR for Cloud Controls Matrixの移行 ...1; Cloud Controls Matrix (CCM) - CSA3

回帰テストの定義によると、回帰テストとは、最近のプログラムまたはコードの変更が既存の機能に悪影響を与えていないことを確認するソフトウェアテストの一種です1。これは、機能テストと非機能テストを再実行し、以前に開発およびテストされたソフトウェアが変更後も期待どおりに動作することを確認するものです2。ソフトウェアが期待どおりに動作しない場合、回帰と呼ばれます。したがって、回帰テストの最も重要な目的は、新しいリリースが以前の安定した機能に影響を与えないことを確認することです。
その他のオプションは、次の理由により正しくありません。
選択肢Aは不正解です。期待される出力が新機能によって提供されることは、回帰テストの目的ではなく、機能テストまたは受け入れテストの目的です。これらの種類のテストは、ソフトウェアが指定された要件を満たし、ユーザーのニーズを満たしていることを確認することを目的としています。一方、回帰テストは、新機能によって既存の機能が壊れていないことを確認することに重点を置いています。3 選択肢Bは不正解です。システムが多数のユーザーを処理できることは、回帰テストの目的ではなく、パフォーマンステストまたは負荷テストの目的です。これらの種類のテストは、さまざまなワークロードと条件下でのソフトウェアの動作と応答性を評価することを目的としています。一方、回帰テストは、コード変更によってソフトウェアの機能と品質が低下していないことを確認することに重点を置いています。4 選択肢Cは不正解です。技術的な問題が発生した後、システムを復元できることは、回帰テストの目的ではなく、復旧テストまたは災害復旧テストの目的です。これらの種類のテストは、ソフトウェアが障害や災害から復旧し、通常の運用を再開する能力を評価することを目的としています。一方、回帰テストは、コードの変更によってソフトウェアに新しい障害や欠陥が生じていないことを確認することに重点を置いています5

例外レポートは、組織内で効果的なクラウドアプリケーション制御を維持するために不可欠です。これは、潜在的なセキュリティ問題を示唆する可能性のある、標準運用手順からの逸脱を監視し、報告することを意味します。このプロアクティブなアプローチにより、組織は脆弱性が悪用される前に迅速に対処することができます。例外レポートは、制御の運用効果に関するリアルタイムの洞察を提供し、セキュリティポリシーのコンプライアンス維持に役立つため、堅牢なセキュリティ体制の重要な要素です。
参照 = クラウドセキュリティのベストプラクティスでは、例外レポートの重要性が強調されており、クラウドアプリケーションで検出された異常に対して継続的な監視と即時対応の必要性が強調されています。

要件は、統制活動を定義します。統制活動とは、統制目標1を達成するために実施される行動、プロセス、またはメカニズムです。統制目標とは、ポリシーの意図を確実に達成するために設計された、達成すべき目標または望ましい条件です。ガイドラインとは、ポリシー、標準、または統制の導入方法に柔軟性を持たせるための推奨される実践方法またはアドバイスです。ポリシーとは、組織の内部統制システムの方向性、目的、および範囲を確立する経営陣の意図を表明したものです。4
参考文献:
* COSO - 統制活動 - Deloitte1、統制活動に関するセクション
* 言葉は重要です - ポリシー、管理目標、標準を理解する...2、管理目標に関するセクション
* ポリシー、管理目標、標準、ガイドラインの理解...3、ガイドラインのセクション
* 内部統制ハンドブック4、ポリシーのセクション