Explanation/Reference:
Explanation:
FM-200 is safer to use than carbon dioxide. It is considered a clean agent for use in gaseous fire suppression applications. A water-based fire extinguisher is suitable when sensitive computer equipment could be damaged before the fire department personnel arrive at the site. Manual firefighting (fire extinguishers) may not provide fast enough protection for sensitive equipment (e.g., network servers).

説明
オンラインセキュリティ意識向上プログラムをレビューするIS監査担当者にとって最大の懸念事項は、トレーニング結果を評価するための指標が確立されていないことです。指標がなければ、プログラムの効果を測定し、改善すべき領域を特定することは困難です。その他の指摘事項も対処すべき問題ではありますが、指標の欠如ほど重要ではありません。参考文献：CISAレビューマニュアル（デジタル版）、第〇章
5、セクション5.3.11

監査作業を開始する前に最も重要なことは、統制目標を設定することです。統制目標とは、アプリケーションの情報保護に関して監査が達成または検証しようとする具体的な目標または成果のことです1。統制目標は、監査手順の設計と実施、監査証拠の評価、監査結果と勧告の報告の基礎となります2。統制目標はまた、監査の範囲と基準をビジネスのニーズと期待に合わせ、監査が関連性があり、信頼性が高く、効率的であることを保証するのにも役立ちます3。
情報保護監査における管理目標の例としては、以下のようなものがあります。
* アプリケーションに保存される情報が、その機密性、価値、および規制要件に従って分類されることを保証するため
* アプリケーションに保存される情報が、必要に応じて暗号化、マスキング、または匿名化されることを保証するため
* アプリケーションに保存されている情報が、許可されたユーザーとプロセスのみによってアクセス可能であることを保証するため
* アプリケーションに保存されている情報が、事業継続およびデータ保持ポリシーに従ってバックアップ、復元、および保持されることを保証するため
* アプリケーションに保存されている情報が監視、ログ記録され、不正または異常なアクティビティがないか監査されることを保証するため。したがって、オプション B が正解です。
選択肢Aは正しくありません。なぜなら、是正報告書を確認することは、監査作業開始前に最も重要な行動ではないからです。是正報告書とは、被監査者が過去の監査結果や問題点をどのように解決または対処したかを記述した文書です。是正報告書を確認することは、アプリケーションにおける情報保護の現状を理解する上で役立つかもしれませんが、監査の統制目標を定義するための前提条件ではありません。
選択肢Cは正しくありません。なぜなら、監査作業を開始する前に脅威の状況を評価することは最も重要な行動ではないからです。脅威の状況とは、アプリケーションに保存されている情報に影響を与える可能性のあるサイバー攻撃やデータ侵害の潜在的な発生源、方法、および影響の集合です5。脅威の状況を評価することは、アプリケーションにおける情報保護のリスクと脆弱性を特定し、優先順位付けするのに役立つかもしれませんが、監査の統制目標を定義するための前提条件ではありません。
選択肢Dは正しくありません。なぜなら、侵入テストの実施は監査作業開始前に最も重要な行動ではないからです。侵入テストとは、現実世界のサイバー攻撃やデータ漏洩をシミュレートして、情報システムやアプリケーションのセキュリティと回復力をテストする手法です。

Section: Information System Operations, Maintenance and Support