セクション：情報リスク管理

セクション：情報セキュリティガバナンス
Explanation:
一元化された構造の管理と制御が容易になります。セキュリティ意識を高めることは、分散化の利点です。分散化により、フィールドセキュリティ担当者をセキュリティ宣教師または大使として使用して、セキュリティ意識のメッセージを広めることができます。分散型の運用により、セキュリティ管理者はより迅速に対応できます。ビジネスに近いことで、分散型のセキュリティ管理者は、集中型の運用で達成されるよりも迅速なターンアラウンドを達成できます。

セキュリティ投資の見返りを判断する1つの方法は、情報セキュリティがビジネス目標の達成をどのようにサポートするかを説明することです。セキュリティメトリクスは、セキュリティプラクティス内の改善と有効性を測定しますが、ビジネス目標とは関係ありません。同様に、成果物の一覧表示とプロセス改善モデルの作成は、必ずしもビジネス目標に結びつくとは限りません。

説明/参照：
Explanation:
重要なビジネスシステムを含むアウトソーシング契約の重要な要件は、プロバイダーのセキュリティ管理の独立したセキュリティレビューを実施する組織の権利の確立です。法的拘束力のあるデータ保護契約も重要ですが、選択Aの二次的なものであり、システムおよびに普及している実際のセキュリティ管理の調査を許可します。そのため、より効果的なリスク管理ツールです。組織とプロバイダー間のリンクのネットワーク暗号化は要件になる可能性がありますが、選択肢Aにも含まれるため、それほど重要ではありません。
システムに関連する統制の独立したセキュリティレビューを実施する権利が契約上困難であることが判明した場合、アウトソーシングプロバイダーと連携したシステムの共同リスク評価は妥協案となる可能性があります。