説明
情報セキュリティ管理者は、組織の情報セキュリティ ポリシーと地域の規制との間に矛盾がある場合、まず法的指導を受ける必要があります。これは、矛盾の影響と結果を理解し、問題を解決するための考えられる選択肢と解決策を特定するのに役立ちます。 。また、情報セキュリティ管理者は、上級管理者、事業主、情報所有者などの関連する利害関係者と相談して、組織の目的、リスク選好度、およびコンプライアンス義務に合致する最善の行動方針を決定する必要があります。法的指導なしに地域の規制や組織の情報セキュリティ ポリシーを強制すると、組織は法的責任、セキュリティ リスク、または業務の中断にさらされる可能性があります。規制の独立した評価を取得することは役立つかもしれませんが、それは最初のステップではありません。
参考文献 = CISM レビュー マニュアル、第 16 版、691 ページ。ISACA CISM ドメインとドメイン 1 のガイド:
情報セキュリティガバナンス2

説明
組織の法令遵守を保証するためにも監視プロセスが必要となるため、情報セキュリティ管理者は法令を遵守する義務があります。選択肢 B と C は、オペレーショナル リスクの一部として評価されます。選択肢 D は、規制法違反ほど重大なものではないと考えられます。運用上のリスクを受け入れると、選択肢 B、C、D が無効になります。