4 つのオプションはすべて、情報セキュリティのベスト プラクティスを実装するプロセスにおける有効な手順です。ただし、実装はそれらのセキュリティ要件に基づいて行う必要があるため、高レベルのビジネス セキュリティ要件を定義することが他の要件よりも優先される必要があります。

重要な要件は、業務運営の可用性を維持することです。選択肢 A は正しいコンプライアンス要件ですが、この場合の主な目的ではありません。選択肢 B と C は、事業継続/災害復旧計画の補足要件です。

法律と規制は、組織が遵守する必要がある法的およびコンプライアンスの要件と義務を定義し、それらをサポートするセキュリティ ポリシーと管理の開発と実装を導くため、組織の情報セキュリティ戦略を決定するための最も有用な情報を提供します。セキュリティ予算は、組織のセキュリティのニーズや目標を反映するものではなく、セキュリティ活動や取り組みを可能にするリソースであるため、組織の情報セキュリティ戦略を決定するための有益な情報ではありません。リスク登録は組織の情報セキュリティ戦略を決定するのに有益な情報ではありません。なぜなら、リスク登録は組織の情報セキュリティ戦略を反映していないからです。セキュリティのビジョンや使命ではなく、セキュリティ リスクを特定して管理するためのツールです。リスク スコアは、組織のセキュリティの優先順位や目標を反映するものではなく、リスクの危険にさらされるレベルやパフォーマンスの尺度であるため、組織の情報セキュリティ戦略を決定するための有益な情報にはなりません。参考: https://www.isaca.org/resources/isaca-journal/issues/2016/volume-4/technical-security-standards-for-information-systems https://www.isaca.org/resources/isaca -journal/issues/2017/volume-2/セキュリティ イニシアチブをビジネスの目標と目標に合わせる方法