By digitally signing all e-mail messages, the receiver will be able to validate the authenticity of the sender. Encrypting all e-mail messages would ensure that only the intended recipient will be able to open the message; however, it would not ensure the authenticity of the sender. Compressing all e-mail messages would reduce the size of the message, but would not ensure the authenticity.
Password protecting all e-mail messages would ensure that only those who have the password would be able toopen the message; however, it would not ensure the authenticity of the sender.

説明
監査人がこの問題に対処する最善の方法は、経営陣がリスクを受け入れるためのポリシー例外を承認していることを確認することです。ポリシー例外とは、特定の状況または期間において、確立されたポリシー要件からの逸脱を認める正式な承認です。ポリシー例外は、潜在的な脅威と脆弱性の影響と発生可能性、および代替的な管理策のコストと便益を評価するリスク評価に基づいて策定されるべきです。また、ポリシー例外は文書化され、経営陣によって承認および監視される必要があります。
要件を満たすためにアプリケーションにパッチを適用することを推奨するのは、監査担当者がこの問題に対処する最善の方法ではありません。アプリケーションは3か月後に廃止される予定であるため、パッチを適用することは実現不可能、費用対効果が低い、あるいは時期的に適切でない可能性があります。また、パッチを適用することで、アプリケーションの機能やパフォーマンスに影響を与える可能性のある新たなリスクやエラーが発生する可能性もあります。
監査担当者がこの問題に対処する最善の方法は、ITディレクターにポリシー違反を報告することではない。
ITディレクターにポリシー違反を通知しても、問題が解決したりリスクが軽減されたりするとは限りません。特に、ITディレクターが既に状況を認識しており、それを容認している場合はなおさらです。また、ITディレクターにポリシー違反を通知することで、監査担当者と被監査担当者の間に不必要な対立や緊張が生じる可能性もあります。
アプリケーションが3か月後に廃止されるからといって何もしないというのは、監査人がこの問題に対処する最善の方法ではありません。何もしなければ、悪意のある第三者によってアプリケーションが侵害または悪用された場合、データ漏洩、規制当局からの罰金、評判の低下など、組織に重大なリスクや影響が生じる可能性があります。また、何もしないことは、注意義務、客観性、報告義務といった監査人の専門的基準や責任に違反する可能性もあります。
参考文献：
ISACA、CISA レビューマニュアル、第 27 版、2019 年、p. 289
ISACA、CISAレビュー問題、解答、解説データベース - 12ヶ月購読 レガシーシステム向けサイバーセキュリティエンジニアリング：6つの推奨事項 - SEIブログ 企業のレガシーアプリケーションを保護する方法 - iCorps

The best way to control scope creep in a project is by assessing the impact of requested changes. Scope creep often occurs when changes or additions to the project are made without properly evaluating their impact on the project's scope, resources, timeline, and costs. By assessing the impact of each requested change, the project team can ensure that changes are aligned with project objectives and that any adjustments are properly managed, preventing uncontrolled expansion of the project scope.

セクション：情報システムの運用、保守およびサポート