クラウド・コントロール・マトリックス（CCM）は、クラウドコンピューティングのためのサイバーセキュリティ管理フレームワークであり、クラウド利用者が運用上のクラウドリスク管理プログラムを構築するために使用できます。CCMは、クラウド・サプライチェーン内のどの関係者がどのセキュリティ管理を実施すべきかについてのガイダンスを提供し、業界で認められたセキュリティ標準、規制、フレームワークにこれらの管理をマッピングします。CCMは、クラウド利用者がクラウドサービスプロバイダのセキュリティ体制を評価し、自らの責任と要件を文書化し、クラウドセキュリティの保証とコンプライアンスのベースラインを確立するのに役立ちます。参考資料：クラウド・コントロール・マトリックス（CCM） - CSA1 クラウド・コントロール・マトリックス（CCM）とは？ - Cloud Security Alliance2 クラウド監査知識認定（CCAK）学習ガイド、第5章：クラウド保証フレームワーク

インシデント発生後にトップ脅威分析手法を適用する場合、技術的影響特定ステップの範囲は、情報システムの機密性、整合性、および可用性への影響を判断することです。トップ脅威分析手法は、クラウドセキュリティアライアンス（CSA）が開発したフレームワークであり、組織がクラウドコンピューティングに対する最も重要な脅威を特定、分析、軽減できるよう支援します。この手法は、脅威の特定、脅威分析、技術的影響の特定、ビジネス影響分析、リスク評価、リスク対応の6つのステップで構成されています12。
技術的影響特定ステップは、本手法の3番目のステップであり、インシデントが情報システムのセキュリティ特性、すなわち機密性、完全性、可用性にどのような影響を与えたかを評価することを目的としています。機密性とは、不正アクセスや漏洩からデータを保護することを指します。完全性とは、不正な変更や削除からデータを保護することを指します。可用性とは、データとサービスを中断や拒否から保護することを指します。技術的影響特定ステップは、組織がインシデントの重大性と範囲、そして情報システムへの影響を理解するのに役立ちます12。
その他のオプションは、技術的影響特定ステップのスコープ外です。オプション A（特定されたリスクに対応するために組織が選択したコントロールへの影響を特定する）は、方法論の6番目で最後のステップであるリスク対応ステップの一部であるため、スコープ外です。オプション C（情報資産を除く組織の物理的および環境的セキュリティへの影響を特定する）は、情報システムまたはそのセキュリティ特性とは関連がないため、スコープ外です。オプション D（組織の財務、運用、コンプライアンス、および評判への影響を特定する）は、方法論の4番目のステップであるビジネス影響分析ステップの一部であるため、スコープ外です。参考：トップ脅威分析方法論 - CSA1 トップ脅威分析方法論 - Cloud Security Alliance

説明
コードリリースサイクルにおけるシフトレフトの概念は、ソフトウェア開発ライフサイクルの早い段階、多くの場合はコードが記述される前に、テスト、品質、パフォーマンス評価を統合することを目的としたプラクティスです。これにより、欠陥の発見と予防、品質の向上、そして安全なソフトウェアのより迅速な提供が可能になります。シフトレフトの概念の重要な側面の一つは、継続的インテグレーション、継続的デリバリー、継続的テストツールなどを活用し、ソフトウェアコードの問題を早期に特定して対処するための自動化を組み込むことです。自動化は、手作業によるエラーの削減、フィードバックループの高速化、効率性と信頼性の向上に役立ちます。123 その他の選択肢は、以下の理由により正しくありません。
オプション A は不正解です。リリース サイクルが遅く、システムが地理的に分散している大規模な組織は、シフトレフト コンセプトの導入で課題に直面する可能性が高くなります。このような組織は、より複雑でレガシーなシステム、依存関係、プロセスを抱えている可能性があり、俊敏性とコラボレーションを阻害するからです。シフトレフト コンセプトには、継続的な改善、実験、学習の文化が必要ですが、これは従来型の組織やサイロ化された組織とは両立しない可能性があります。4 オプション C は不正解です。ウォーターフォール モデルは、ソフトウェア開発ライフサイクルの後半で実行される開発、テスト、展開の段階を順番に含むため、シフトレフト コンセプトの反対です。ウォーターフォール モデルでは、欠陥、フィードバック、変更の早期検出と修正ができず、コスト、遅延、リスクが増大する可能性があります。5 オプション D は不正解です。大量の反復から少量のコード コミットに移行するスタートアップ企業の成熟度は、シフトレフト コンセプトの兆候ではなく、アジャイルまたはリーン ソフトウェア開発方法論の兆候です。これらの方法論は、短いイテレーションまたはスプリントで動作するソフトウェアを頻繁にフィードバックと適応を伴って提供することで、顧客に価値を提供することに重点を置いています。これらの方法論は、テストとデリバリーサイクルを迅速化することでシフトレフトの概念をサポートできますが、シフトレフトの概念と同等または同義ではありません6。参考文献：1：AWS。DevSecOpsとは？ - 開発者向けセキュリティ運用の説明 - AWS。
[オンライン]. 公開日: 4. [アクセス日: 2023年4月14日]. 2: Dynatrace. シフトレフト vs シフトライト：DevOpsの謎を解く - Dynatraceニュース. [オンライン]. 公開日: 2. [アクセス日: 2023年4月14日]. 3: BMC Software. シフトレフトテスト：シフトレフトとは何か、なぜ、そしてどのように行うのか - BMC Software | ブログ. [オンライン]. 公開日: 3. [アクセス日:
[2023年4月14日]。4: GitLab。継続的インテグレーションでシフトレフトを実現する方法 | GitLab。
[オンライン]. 公開日: 4. [アクセス日: 2023年4月14日]. 5: DZone. DevOpsとシフトレフトの原則 - DZone.
[オンライン]. 閲覧可能日: 5. [アクセス日: 2023年4月14日]. 6: Devopedia. Shift Left - Devopedia. [オンライン]. 閲覧可能日: 6.
[アクセス日: 2023年4月14日]

適用可能な法定要件の影響は、クラウド監査の範囲と目的を計画する際に優先されるべきです。なぜなら、適用可能な法定要件は、クラウドサービスプロバイダーとクラウドサービスカスタマーに適用される強制力のある規則だからです。法定要件は、クラウドサービスプロバイダーとクラウドサービスカスタマーの管轄区域、業種、セクター、そしてクラウドで処理または保存されるデータの種類、場所、機密性によって異なる場合があります。法定要件には、データ保護、プライバシー、セキュリティ、コンプライアンス、ガバナンス、課税、または責任に関連する法律、規制、標準、または規範が含まれる場合があります。クラウド監査人は、クラウドサービスプロバイダーとクラウドサービスカスタマーに影響を与える適用可能な法定要件を特定し、理解し、両当事者がそれらの要件を満たし、遵守しているかどうかを評価する必要があります。また、クラウド監査人は、クラウドサービスプロバイダーとクラウドサービスカスタマー間の契約条件が適用可能な法定要件を反映し、遵守していることを確認する必要があります123。
適用可能な業界のグッドプラクティス (A) は、クラウド監査の範囲と目的を計画する上で重要ですが、適用可能な法定要件ほど優先度は高くありません。業界のグッドプラクティスとは、特定のドメインまたはコンテキストで望ましい成果または結果を達成するための推奨または受け入れられている方法またはテクニックです。業界のグッドプラクティスには、特定の分野またはエリアで専門知識または権限を持つ専門機関、協会、または組織によって開発されたフレームワーク、ガイドライン、原則、またはベストプラクティスが含まれます。業界のグッドプラクティスは、クラウドサービスプロバイダーとクラウドサービス顧客がクラウドサービスを提供または使用する際のパフォーマンス、品質、効率、または有効性を向上させるのに役立ちます。ただし、業界のグッドプラクティスは必須でも強制力もなく、テクノロジーの進化やビジネスニーズに応じて時間の経過とともに変化する可能性があります123。
組織のポリシーと手順 © は、クラウド監査の範囲と目的を計画する上で重要ですが、適用される法定要件ほど優先度は高くありません。組織のポリシーと手順は、組織の業務、活動、プロセス、または機能に関する目的、期待、および責任を定義する内部規則とガイドラインです。組織のポリシーと手順には、ミッション ステートメント、ビジョン ステートメント、バリュー ステートメント、戦略、目標、計画、標準、マニュアル、ハンドブック、または組織固有の指示が含まれる場合があります。組織のポリシーと手順は、組織がその行動と決定を目的と方向性に一致させ、メンバーまたは利害関係者間の一貫性と説明責任を確保するのに役立ちます。ただし、組織のポリシーと手順は、組織外で必須または強制可能ではなく、異なる組織間で異なったり矛盾したりする場合があります123。
適用可能な企業標準（D）は、クラウド監査の範囲と目的を計画する上で重要ですが、適用可能な法定要件ほど優先度は高くありません。企業標準とは、組織が製品、サービス、プロセス、またはシステムに期待する品質、パフォーマンス、信頼性、または互換性の最低レベルを定義する社内規則およびガイドラインです。企業標準には、組織固有の仕様、基準、指標、指標、ベンチマーク、またはベースラインが含まれる場合があります。企業標準は、組織がその目的や期待に照らしてアウトプットや成果を測定・評価するのに役立つだけでなく、発生する可能性のあるギャップや問題を特定して対処するのに役立ちます。ただし、企業標準は組織外で強制力や強制力を持つものではなく、組織間で異なる場合や矛盾する場合があります123。参考文献：クラウド監査：クラウドサービスプロバイダー向けガイド - クラウド標準...
クラウド監査: クラウド サービス顧客向けガイド - クラウド標準...
クラウド監査の知識：CCAK認定試験の準備