主要リスク指標 (KRI) は、管理者にとって情報セキュリティ状況レポートに含めるのに最も役立ちます。これは、事前定義されたリスクしきい値または目標に対するリスク エクスポージャのレベルまたはパフォーマンスを測定および報告し、必要な逸脱や問題があれば管理者に警告するためです。注意とか行動とか。最近のセキュリティ イベントのリストは、イベントの分析や評価、あるいはそれが組織の目的やパフォーマンスに及ぼす影響を提供しないため、管理者向けの情報セキュリティ ステータス レポートに含めるのはあまり役に立ちません。情報セキュリティ ポリシーのレビューは、ポリシーの実装または強制の進捗状況や結果を反映していないため、管理者向けの情報セキュリティ ステータス レポートに含めるのはあまり役に立ちません。情報セキュリティ予算要求は、情報セキュリティへの取り組みや管理への投資の価値や利点を示していないため、経営陣の情報セキュリティ状況報告書に含めるのはあまり役に立ちません。参考: https://www.isaca.org/resources/isaca-journal/issues/2016/volume-6/how-to-measure-the-effectness-of-information-security-using-iso-27004

セクション: 情報セキュリティガバナンス
Explanation:
取締役会の援助と支援なしに情報セキュリティプログラムを導入することは非常に困難です。ビジネス目標の達成におけるセキュリティの重要性を理解していなければ、他の対策では十分ではありません。オプション B および (' は、情報セキュリティ プログラムの実施の効率性を確保するために提案された手段ですが、取締役会の援助と支援を得るほど重要ではありません。オプション D は企業情報を保護するための手段ですが、それ自体は重要ではありません。情報セキュリティ プログラムの広範な有効性を確保するための手段ではありません。

説明
強力なランダム パスワードを作成すると、必要な時間が飛躍的に増加するため、ブルート フォース攻撃が成功するリスクが軽減されます。システムへのリモート アクセスを防ぐことは、ミッション クリティカルなシステムでは常に選択肢になるわけではなく、依然としてローカル アクセスのリスクが残ります。ベンダーのパッチは常に利用できるわけではありません。使用状況の追跡は発見的な制御であり、攻撃を防ぐものではありません。