説明
CISM レビュー マニュアル (デジタル版) の 5 ページによると、情報セキュリティ文化とは、組織とその従業員が情報セキュリティをどのように捉え、実践するかを形作る一連の価値観、態度、および行動です。情報セキュリティ文化を変革するには、次のステップを含む変更管理プロセスが必要です: 危機感の醸成、強力な連携の形成、ビジョンと戦略の策定、ビジョンの伝達、広範な行動の強化、短期的な勝利の創出、統合利益を獲得し、さらなる変化を生み出し、新しいアプローチを文化に定着させます1。4 つのオプションのうち、強力な経営陣のサポートは、変更管理プロセスに必要なリーダーシップ、リソース、スポンサーシップ、連携を提供できるため、情報セキュリティ文化の変革を実現する最良の手段です。定期的なコンプライアンス監査、堅牢な技術的セキュリティ管理、セキュリティインシデント報告に対するインセンティブは情報セキュリティの重要な要素ですが、経営陣の強力なサポートがなければ文化を変えるには十分ではありません。参考文献 = 1: CISM レビュー マニュアル (デジタル版)、5 ページ

説明/参照:
Explanation:
他の組織との合併や買収は、新たな脆弱性やリスクが引き継がれるため、情報セキュリティ管理機能に大きな影響を与えます。新しいオフィスの開設、データセンターの新しいサイトへの移転、またはネットワークの再配線には情報セキュリティのリスクが伴う可能性がありますが、通常は企業のセキュリティ ポリシーに準拠しており、安全性を確保するのは簡単です。

説明
リスク分析には、すべての組織活動が含まれる必要があります。システムのサブセットやシステムとインフラストラクチャだけに限定すべきではありません。

説明
ネットワークの脆弱性を特定して対処する任務を負った、新しく採用された情報セキュリティ マネージャーにとって最適な出発点は、C. ペネトレーション テストです。これは、ペネトレーション テストが、ネットワーク上で実際の攻撃をシミュレートしてセキュリティ体制を評価し、悪意のある攻撃者によって悪用される可能性のある弱点やギャップを特定する方法であるためです。侵入テストは、情報セキュリティ管理者が既存の管理の有効性を評価し、修復作業に優先順位を付け、関連する標準および規制への準拠を実証するのに役立ちます。ペネトレーション テストでは、ネットワーク アーキテクチャ、構成、動作、さらにはさまざまな種類の攻撃の潜在的な影響と可能性についての貴重な洞察も得られます。
参考文献 = CISM レビュー マニュアル第 15 版、第 4 章、セクション 4.2.1、2091 ページ。CISM レビューの質問、回答、および説明マニュアル第 9 版、質問 50、14 ページ

説明
主要業績評価指標 (KPI) は、情報セキュリティのプロセスと活動の有効性と効率を測定する指標です。これらは、セキュリティ管理のパフォーマンス、リスクエクスポージャのレベル、セキュリティ投資の収益率、およびセキュリティ目標の進捗状況に関する関連するタイムリーかつ正確な情報を提供することで、上級管理者が情報セキュリティのコンプライアンスの状況を理解するのに役立ちます。KPI は、組織のセキュリティ パフォーマンスを業界標準やベスト プラクティスと比較してベンチマークするために使用することもできます。KPI は組織の戦略目標およびリスク選好と一致している必要があり、上級管理職およびその他の利害関係者に定期的に報告される必要があります。
参考文献:
*1 セキュリティガバナンスの主要業績評価指標、パート 1 - ISACA
*2 セキュリティ ガバナンスの主要業績評価指標、パート 2 - ISACA
※3 コンプライアンスの有効性を測るコンプライアンス指標とKPI - 相互主義
*4 2023 年に追跡すべき 14 のサイバーセキュリティ指標 + KPI - UpGuard