説明/参照:
Explanation:
オペレーティング システム (OS) のパッチは重要なアプリケーションに悪影響を与えるため、同等のレベルのセキュリティを提供する緩和制御を特定する必要があります。アプリケーションは重要であるため、アプリケーションを無視してパッチを適用してはならず、ビジネス要件を考慮する必要があります。
OS パッチを変更してアプリケーションを特権状態で実行できるようにすると、新たなセキュリティ上の弱点が生じる可能性があります。最後に、テスト プラットフォームで実稼働アプリケーションを実行することは、同じレベルのセキュリティ制御の対象ではないプラットフォームで重要な実稼働アプリケーションを実行することになるため、許容できる代替手段ではありません。

セクション: 情報セキュリティプログラム開発
Explanation:
アクセス制御リストの確認は、情報セキュリティ マネージャーが、許可された人物が企業ポリシーに従って入室していることを確認できる検出制御です。警備員が同伴する訪問者も安心感を与えますが、コスト効率が悪い可能性があります。次にコスト効率の良い制御は、訪問者登録です。PIN と組み合わせた生体認証によりアクセス制御が強化されますが、コンプライアンス保証ログは引き続き確認する必要があります。

セクション: 情報セキュリティプログラム管理
Explanation:
セキュリティ標準では、何が許容されるかを明確に規定する必要があります。頻繁に変更すべきではありません。違反を通知するプロセスは、標準ではなくセキュリティ手順によって対処されます。組織の高レベルの目標は、通常、セキュリティ ポリシーで対処されます。

セクション: 情報セキュリティガバナンス
Explanation:
リスク評価、評価、および影響分析は、情報セキュリティに対する経営陣の注意を促すための出発点となります。その他のすべての選択は、リスク評価に従います。

セクション: 情報セキュリティプログラム開発
Explanation:
暗号化は、モバイル デバイス上のデータを最も効果的に保護します。認証だけでは、あまり安全ではありません。従業員が USB デバイスにデータをコピーすることを禁止したり、USB デバイスの使用を制限したりするのは、事後対策です。