データ保持ポリシーを導入する最大の理由は、情報の保管と保護に伴う法的責任を制限することです。データ保持ポリシーとは、企業が情報を維持するための確立された手順であり、通常、保持する必要のあるデータ、保管すべき形式、保管期間、最終的にアーカイブまたは削除するかどうか、廃棄権限を持つ者、およびポリシー違反が発生した場合の手順を定義します1。データ保持ポリシーは、組織に次のようなメリットをもたらします。
* 財務記録、医療記録、個人データなど、特定の種類のデータの保持および廃棄を義務付ける法的および規制上の要件を遵守する
* 保存するデータ量を最小限に抑え、適切なセキュリティ対策を講じることで、データ漏洩、盗難、紛失、破損のリスクを軽減します。
ストレージスペースの利用を最適化し、バックアップおよびリカバリ操作の必要性を減らすことで、コストとリソースを節約します。
不要なデータや古いデータを排除し、データ品質とアクセス性を向上させることで、業務効率とパフォーマンスを向上させます。
* 緊急事態発生時に重要なデータが利用可能で復旧可能であることを保証することにより、事業継続計画および災害復旧計画を支援する。
* データの真正性、完全性、および出所の証拠を提供することで、監査証跡と調査を容易にします。したがって、データ保持ポリシーを導入することで、組織は情報の保存と保護に関連する責任を制限し、データガバナンスと管理の実践を改善することができます。
参考文献：
* データ保持ポリシー入門：ベストプラクティス、事例など

説明
IS監査人がコンプライアンス監査の計画段階で最初に行うべきことは、規制変更がなぜ反映されていないのかを経営陣に尋ねることです。IS監査人は、データリスク管理に関連する最近の規制変更をコンプライアンス要件のインベントリに反映させていない理由について問い合わせる必要があります。これにより、IS監査人は組織内でコンプライアンス義務の認識、伝達、または実施にギャップがあるかどうかを把握することができます。その他の選択肢は、IS監査人が最初に行うべきことではなく、経営陣の対応次第で後続的に行うべき行動です。参考文献：
CISAレビューマニュアル（デジタル版）、第2章、セクション2.31
CISA復習問題、解答、解説データベース、問題ID 214

Explanation/Reference:
Explanation:
The common gateway interface (CGI) is a standard way for a web server to pass a user's request to an application program and to move data back and forth to the user. When the user requests a web page (for example, by clicking on a highlighted word or entering a web site address), the server sends back the requested page. However, when a user fills out a form on a web page and submits it, it usually needs to be processed by an application program. The web server typically passes the form information to a small application program that processes the data and may send back a confirmation message. This method, or convention, for passing data back and forth between the server and the application is called the common gateway interface (CGI). It is part of the web's HTTP protocol.

The most effective way for an organization to help ensure agreed-upon action plans from an IS audit will be implemented is to ensure ownership is assigned. This means that the management of the audited area should accept responsibility for implementing the action plans and report on their progress and completion to the audit committee or senior management. This will ensure accountability, commitment, and follow-up for the audit recommendations34. References: 3: CISA ReviewManual (Digital Version), Chapter 1: The Process of Auditing Information Systems, Section 1.6: Reporting, page 41 4: CISA Online Review Course, Module 1:
The Process of Auditing Information Systems, Lesson 1.6: Reporting