セクション: 情報セキュリティガバナンス
Explanation:
規制コンプライアンスは、情報セキュリティ ガバナンス対策の独立した推進力となり得ます。組織には規制要件の選択権がないため、これ以上の分析や正当化は必要ありません。業界のベスト プラクティスとの整合性に基づいて情報セキュリティ ガバナンス対策が求められる場合、情報セキュリティ マネージャーはビジネス マネージャーの同意を得る必要があります。ビジネス継続性への投資は、ビジネス影響分析によって正当化される必要があります。情報セキュリティ ガバナンス対策が定性的なビジネス メリットに基づいて求められる場合、そのメリットが問題の情報セキュリティ ガバナンス対策のコストを上回るかどうかを判断するために、さらに分析を行う必要があります。

説明
「情報セキュリティ トレーニング プログラムは、従業員の特定の役割と責任に合わせてカスタマイズする必要があります。これにより、従業員は自分の行動が情報セキュリティにどのような影響を与えるか、情報セキュリティを保護するために何をする必要があるかを理解できます。ポリシー、ビジネス プロセス、または最近のインシデントに重点を置いた一般的なトレーニング プログラムは、すべての従業員にとって適切または効果的ではない可能性があります。」

セクション: 情報セキュリティプログラム開発

セクション: 情報セキュリティプログラム管理
Explanation:
システム開発ライフサイクルに適切な測定を含めることは、セキュリティ ベースラインの実践を示す可能性がありますが、これらは範囲が広いため、情報セキュリティのベスト プラクティスを確立するためにセキュリティ ベースラインを実装することが適切な答えです。さまざまな管轄区域の法律や適用可能な規制を満たすためにセキュリティ ベースラインを実装し、情報セキュリティを競争上の優位性として活用することは、セキュリティ ベースラインを使用することによる補足的なメリットです。