セキュリティ メトリックを確認することで、上級管理者は組織のセキュリティ体制のスナップショット ビューと傾向を把握できます。選択肢 A は不正解です。リスク評価ポリシーを見直しても、コントロールが実際に機能していることが保証されないからです。選択肢 B は不正解です。セキュリティ投資の収益をレビューすることで、管理を導入する際のビジネス上の正当性が得られますが、管理自体の有効性は測定されません。選択肢 D は不正解です。ユーザーのアクセス権のレビューはデータ管理者とデータ所有者の共同責任であり、制御の有効性を測定するものではありません。

セクション: 情報セキュリティ プログラム管理

説明
ビジネスマネージャーは、リスク評価と軽減策の提案に基づいて、最適な立場にあります。ビジネス戦略および予算に沿って、どの管理を実装する必要があるか、または実装できるかを決定します。上級管理者は、事業管理者が評価されるリスクを明確に理解していることを確認する必要がありますが、いかなる場合でも特定の管理を決定する立場にはありません。IT 監査マネージャーは、脅威と脆弱性を特定し、緩和策を推奨するプロセスに参加します。情報セキュリティ責任者 (ISO) は、コントロールの実装に関していくつかの決定を下すことができます。ただし、ビジネス マネージャーはより広いビジネス ビューを持ち、予算を完全に制御できるため、戦略的な決定を下すのに有利な立場にあります。