説明
組織に対する主要な脅威のリスクマッピングまたはマクロ評価は、リスク評価を実行する前の簡単な最初のステップです。利用可能なすべてのリスク情報のソースを編集することは、リスク評価の一部です。選択肢CとDもリスク評価プロセスのコンポーネントであり、脅威とビジネスのマッピングの後に実行されます。

説明/参照：
Explanation:
アプリケーション全体に対するセキュリティのコードレビューは最善の手段であり、バックドアのすべてのインスタンスを検出するためにソースコード全体をレビューする必要があります。ネットワークポート上のトラフィックのシステム監視では、バックドアのすべてのインスタンスを検出することはできず、時間がかかり、多大な労力を要します。アプリケーションバイナリをリバースエンジニアリングしても、明確な手がかりが得られない場合があります。バックドアは通常、アプリケーション内の非表示のアカウントであるため、特権の高いアカウントでアプリケーションを実行しても、バックドアは表示されません。

セクション：情報セキュリティプログラムの管理
Explanation:
正式な文書がなければ、セキュリティプロセスが実行されるたびに適切な方法で実行されることを保証することは困難です。ビジネス目標との整合は、セキュリティ手順を正式に文書化する機能ではありません。プロセスは、単に監査要件を満たすために正式に文書化されるべきではありません。メトリックの開発には役立つ可能性がありますが、メトリックの作成を支援する正式なドキュメントを作成することは、二次的な目的です。