セクション: 情報セキュリティプログラム管理

説明
CISM レビュー マニュアルによると、効果的な情報セキュリティ プログラムを確立するための最初のステップは、プログラムの目的を組織の目標と戦略に合わせるビジネス ケースを作成することです。ビジネス ケースは、情報セキュリティ プログラムの根拠と正当性を提供し、上級管理職やその他の関係者から必要なリソースとサポートを確保するのに役立ちます。ビジネス ケースには、次の要素を含める必要があります。
情報セキュリティプログラムの範囲と目的
組織における情報セキュリティの現状とギャップ分析、情報セキュリティ プログラムの利点と価値提案、情報セキュリティ プログラムのリスクと課題、情報セキュリティ プログラムの推定コストとリソース、情報セキュリティ プログラムの期待される成果とパフォーマンス指標、情報セキュリティ プログラムの実装計画とタイムライン。参考文献 = CISM レビュー マニュアル、第 16 版、第 3 章、セクション 2、97 ～ 99 ページ。

説明/参照:
Explanation:
情報セキュリティ チームに事後レビューを実施させることに伴う利益相反を回避することが常に望ましいことです。サードパーティ チームの専門知識を強化するためのサポートを得ることは利点の 1 つですが、主な動機ではありません。情報セキュリティ管理プロセスをさらに改善するための教訓を特定することが、事後レビューを実施する一般的な目的です。
情報セキュリティ プログラムに対するより良い賛同を得ることは、サードパーティ チームを関与させる正当な理由にはなりません。

説明
重大な情報セキュリティ インシデントが発生した後に是正措置を決定する最善の方法は、事後評価を実施することです。事後評価とは、インシデント、その原因、影響、および教訓を体系的かつ構造的にレビューすることです。事後評価は、インシデントの根本原因、インシデント対応プロセスの長所と短所、セキュリティ制御のギャップと欠陥、および改善と修復の機会を特定するのに役立ちます。事後評価は、将来同様のインシデントの再発を防止または最小限に抑えるための推奨事項とアクション プランを文書化するのに役立ちもあります。
参考資料 = CISM レビューマニュアル、第 16 版 eBook1、第 4 章: 情報セキュリティ インシデント管理、セクション: インシデント対応、サブセクション: インシデント後の活動、211 ページ。