例外レポートは、組織内で効果的なクラウドアプリケーション制御を維持するために不可欠です。これは、潜在的なセキュリティ問題を示唆する可能性のある、標準運用手順からの逸脱を監視し、報告することを意味します。このプロアクティブなアプローチにより、組織は脆弱性が悪用される前に迅速に対処することができます。例外レポートは、制御の運用効果に関するリアルタイムの洞察を提供し、セキュリティポリシーのコンプライアンス維持に役立つため、堅牢なセキュリティ体制の重要な要素です。
参考資料 = クラウドセキュリティのベストプラクティスでは、例外レポートの重要性が強調されており、クラウドアプリケーションで検出された異常に対して継続的な監視と即時対応の必要性が強調されています。

説明
CSA STAR レジストリは、一般的なクラウド コンピューティング サービスによって提供されるセキュリティとプライバシーの制御を文書化した、公開されているレジストリです。1 このレジストリは、クラウド サービスのユーザーが、クラウド プロバイダーが遵守している規制、標準、フレームワークなどのセキュリティとコンプライアンスの姿勢を評価できるように設計されています。1 また、このレジストリは業界の透明性を促進し、プロバイダーと顧客の両方の複雑さとコストを軽減します。2 プロバイダーは、すべての顧客からの問い合わせを CSA STAR レジストリの情報に誘導できます。これがプロバイダーの負担を軽減するための最善の推奨事項となるからです。レジストリに公開することで、プロバイダーは複数の顧客アンケートや提案依頼書 (RFP) に記入することなく、現在の顧客と潜在的顧客に対してセキュリティとコンプライアンスの姿勢を示すことができます2。プロバイダーはまた、自己評価、第三者監査、認証など、レジストリで利用できるさまざまなレベルの保証を活用して、セキュリティの成熟度と信頼性を実証することもできます1。プロバイダーはまた、CSA の信頼できるクラウド プロバイダー プログラムからも恩恵を受けることができます。このプログラムは、クラウド セキュリティの能力と業界のベスト プラクティスへの取り組みを実証し、CSA による追加のトレーニングとボランティア要件を満たしたプロバイダーを認定します3。その他のオプションが不正解な理由:
オプションAは不正解です。プロバイダーが各顧客との電話会議をスケジュールすることは、プロバイダーの負担を軽減するための良い推奨事項とは言えません。特にプロバイダーが毎月複数の問い合わせやRFPを受け取っている場合、各顧客との電話会議をスケジュールすることは時間がかかり、非効率的で、現実的ではありません。また、電話会議をスケジュールしても、顧客が追加情報や証拠を求める可能性があるため、プロバイダーのセキュリティとコンプライアンスの姿勢に満足するとは限りません。また、電話会議をスケジュールしても、セキュリティの成熟度と信頼性を効果的にアピールできない可能性があるため、プロバイダーが市場の他のプロバイダーとの差別化を図ることにもつながりません。
選択肢Bは不正解です。プロバイダーがすべてのセキュリティレポートを顧客と共有してプロセスを合理化することは、プロバイダーの負担を軽減するための良い推奨事項とは言えません。一部のレポートには、外部に開示すべきではない機密情報や秘密情報が含まれている可能性があるため、すべてのセキュリティレポートを顧客と共有することは現実的ではない可能性があります。また、一部のレポートは古くなっていたり、不完全であったり、一貫性がなかったりする可能性があり、プロバイダーの信頼性と評判を損なう可能性があるため、すべてのセキュリティレポートを共有することは望ましくない場合もあります。さらに、一部の顧客にはレポートを適切に確認して理解するための専門知識やリソースがない場合もあるため、すべてのセキュリティレポートを共有することは効果的ではない可能性があります。
選択肢Cは不正解です。プロバイダーが各顧客に個別に回答することは、プロバイダーの負担を軽減するための良い提案とは言えません。各顧客に個別に回答することは、プロバイダーが異なる顧客に類似または同一の情報を何度も提供しなければならないため、面倒で反復的な作業となり、コストもかかります。また、各顧客に個別に回答すると、回答に誤りや漏れが生じる可能性があるため、プロバイダーのセキュリティとコンプライアンスの姿勢の一貫性と正確性を確保できません。また、各顧客に個別に回答すると、セキュリティに関する実績や認定資格をアピールできない可能性があるため、プロバイダーが市場の他のプロバイダーから際立つことにもつながりません。
参考資料: 1: STAR | CSA 2: クラウドサービスにCSA STARレジストリへの登録が必要な理由 3: STARレジストリ | CSA

継続的インテグレーション（CI）は、DevOpsにおけるコードの構築とテストの管理において最も重要な概念です。CIとは、すべての開発者の作業用コードコピーを1日に数回共有のメインラインにマージする手法です。これにより、バグ、競合、エラーの早期検出と解決が可能になり、フィードバックループの高速化と高頻度化が実現します。また、CIはコードの構築、テスト、デプロイの自動化を促進し、ソフトウェア配信プロセスの品質、信頼性、セキュリティを向上させます。CIは、DevOps成熟度の次の段階である継続的デリバリー（CD）と継続的デプロイメント（CD）の前提条件であり、顧客へのソフトウェア提供をより迅速かつ頻繁に行うことを目指しています。参考資料：
* ISACA、クラウド監査知識証明書（CCAK）学習ガイド、2021年、114～115ページ
* クラウド セキュリティ アライアンス (CSA)、クラウド コントロール マトリックス (CCM) v4.0、2021、DCS-01: データセンター セキュリティ - 構築とテスト
* 継続的インテグレーションとは何ですか?
* 継続的インテグレーション vs 継続的デリバリー vs 継続的デプロイメント