組織のプライバシープログラムの確立を支援する上で、内部監査が果たすべき適切な役割の一つは、新たな規制によって生じるリスクを分析することです。プライバシープログラムとは、個人の個人データを不正または違法な収集、使用、開示、廃棄から保護することを目的とした、一連のポリシー、手順、および管理策のことです。
プライバシープログラムは、一般データ保護規則（GDPR）やカリフォルニア州消費者プライバシー法（CCPA）など、個人および組織のプライバシー権と義務を規定する適用法令を遵守する必要があります。新たな規制により、組織のプライバシープログラムに影響を与え、コンプライアンス上のリスクや罰則につながる可能性のある新たな要件や変更が導入される場合があります。そのため、内部監査は、新たな規制によって生じるリスクを分析し、それらに対処する方法について保証、助言、または推奨事項を提供することで、組織のプライバシープログラムの確立を支援できます。1. 他の選択肢は、以下の理由から適切または不適切です。
* B. 個人データの使用を監視する手順の開発は、組織のプライバシー プログラムを確立する上で内部監査が果たすべき適切な役割ではありません。これは、管理または運用上の役割に近いからです。内部監査は、組織のプライバシー プログラムの設計や実装に関与すべきではありません。そうすると、その独立性と客観性が損なわれるからです。内部監査は、組織のプライバシー プログラムの効果と効率性について保証を提供するべきであり、作成や実行を行うべきではありません。2.
* C. 組織のプライバシーに関連する役割を定義することは、組織のプライバシープログラムの確立を支援する内部監査の適切な役割ではありません。それは、ガバナンスまたは戦略的な役割に近いからです。
内部監査は、組織のプライバシー戦略、目標、またはポリシーの設定や承認に関与すべきではありません。なぜなら、それは内部監査の独立性と客観性を損なうことになるからです。内部監査は、組織のプライバシープログラムが戦略、目標、およびポリシーと整合し、遵守していることを保証するべきですが、それらを定義したり承認したりすべきではありません。
* D. 個人データを保護するための管理策の設計は、組織のプライバシー プログラムの確立を支援する内部監査の適切な役割ではありません。これは、管理または運用上の役割です。内部監査は、組織のプライバシー プログラムの設計または実装に関与すべきではありません。これは、内部監査の独立性と客観性を損なうためです。内部監査は、組織のプライバシー プログラムの適切性と有効性について保証を提供するべきであり、設計または実装するべきではありません。2. 参考文献: ISACA が事業継続/災害対策のための新しい監査プログラムを導入...、プライバシー監査のベスト プラクティス - ISACA、ISACA がデータ プライバシーと...のための新しい監査および保証プログラムを作成...

A cold site is often an acceptable solution for preparing for recovery of noncritical systems and datA .

Section: Information System Acquisition, Development and Implementation

説明／参考資料：
Explanation:
監査ログは調査を進める上で必要な証拠を提供する可能性があるため、無効化すべきではありません。業務上の必要性から、サーバーはワークグループのメンバーとなることができ、その場合は問題になりません。
システムにゲストアカウントを有効にしておくことはセキュリティ上の問題ではありますが、フォレンジック調査の対象となるような懸念事項ではありません。最近サーバーに100人のユーザーを作成したのは、業務上のニーズを満たすために必要だった可能性があり、懸念すべき事項ではないでしょう。