Explanation/Reference:
If an IS auditor observes that an IS department fails to use formal documented methodologies, policies, and standards, the auditor should at least document the informal standards and policies, and test for compliance. Furthermore, the IS auditor should recommend to management that formal documented policies be developed and implemented.

説明
インシデント対応計画の最初のステップは通常、準備です12。しかし、提供されるオプションの中で、インシデントの検証が最初のステップとなるでしょう。これは、セキュリティイベントが実際にインシデントであることを確認することです3。誤検知でリソースを無駄にしないためにも、イベントを検証することが重要です。
参考文献：
インシデント対応計画：フレームワークと手順 - CrowdStrike
インシデント対応とは？計画と手順 | マイクロソフト セキュリティ
インシデント対応計画の各段階とは？ - ISC2ブログ

プライバシー監査において最も重要なステップは、個人情報（PII）の取り扱いに関連するすべてのリスクを特定することです。そのためには、収集、処理、保管、転送から保持、破棄に至るまで、個人情報データのライフサイクル全体を分析する必要があります。
選択肢A：データ管理統制のレビューは監査の一部ではあるが、ライフサイクル全体を対象とした監査よりも範囲が狭い。
選択肢B：プライバシーに関する研修は必要だが、研修だけではコンプライアンスを保証するものではない。
選択肢C：第三者との契約内容を見直すことは重要ですが、アウトソーシングされたリスクのみを対象としています。
オプションD：あらゆる段階におけるプライバシーリスクを包括的にカバーします。

The equal-error rate (EER) of a biometric system denotes the percent at which the false-acceptance rate (FAR) is equal to the false-rejection rate (FRR). The biometric that has the lowest EER is the most effective. The biometric that has the highestEER is the most ineffective. For any biometric, there will be a measure at which the FRR will be equal to the FAR. This is the EER. FER is an aggregate measure of FRR.