Section: Protection of Information Assets
Explanation:
The use of a database administrator (DBA) user account is normally set up to log all changes made and is
most appropriate for changes made outside of normal hours. The use of a log, which records the changes,
allows changes to be reviewed. The use of the DBA user account without logging would permit uncontrolled
changes to be made to databases once access to the account was obtained. The use of a normal user
account with no restrictions would allow uncontrolled changes to any of the databases. Logging would only
provide information on changes made, but would not limit changes to only those that were authorized.
Hence, logging coupled with review form an appropriate set of compensating controls.

説明／参考資料：
Explanation:
多くの国が、自国内で保管されている情報や他国と交換される情報の機密性を保護するための規制を制定しています。サービスプロバイダーがサービスの一部を別のサービスプロバイダーにアウトソーシングする場合、情報の機密性が損なわれるリスクがあります。選択肢BとCは懸念事項となる可能性がありますが、情報の機密性を確保することとは関係ありません。IS監査人が選択肢Dを懸念する理由はありません。

Explanation/Reference:
Explanation:
The first step in managing risk is the identification and classification of critical information resources (assets). Once the assets have been identified, the process moves onto the identification of threats, vulnerabilities and calculation of potential damages.

セクション：情報資産の保護
Explanation:
共謀は、継続可能な能動的な攻撃であり、綿密に設計されたアプリケーション制御であっても回避される可能性があるため、特定が困難です。その他の選択肢は、適切に設計されたアプリケーション制御には影響を与えません。