説明
多国籍クラウド コンピューティング ベンダーとの契約から除外された場合、情報セキュリティ マネージャーにとって最大の懸念は、加入者がデータへのアクセスを承認する権限です。加入者のデータは、管轄区域によって異なる法的および規制上の要件の対象となる可能性があり、加入者は誰がデータにアクセス、処理、または開示できるかを制御できなくなる可能性があるためです。加入者は、ベンダーまたは第三者によるデータへのアクセスを承認または拒否する権利、およびベンダーが適用されるデータ保護法と標準に準拠していることを確認する権利を持つ必要があります。加入者がデータへのアクセスを承認する権限は、ISACA クラウド コンピューティング管理監査/保証プログラム 1 の重要な要素の 1 つでもあります。
参考資料 = CISM レビュー マニュアル、第 16 版 eBook2、第 3 章: 情報セキュリティ プログラムの開発と管理、セクション: 情報セキュリティ プログラム管理、サブセクション: クラウド コンピューティング、142 ページ。

説明
理想的には、IT 部門に自動化された整合性チェックの開発を依頼することが望ましいですが、問題が一時的なものであることを考慮すると、共有フォルダに厳格なアクセス権限を設定することでリスクを軽減できます。運用スタッフには書き込みアクセスのみ、支払いスタッフには読み取りアクセスのみを許可し、管理者を含むその他のすべてのアクセスは許可しないようにする必要があります。情報セキュリティ意識向上プログラムや不正行為を行わない契約書への署名は、従業員による不正行為の抑止に役立つ可能性があります。ただし、内部統制が緩んでいると従業員が個人的な利益を得るチャンスがあると判断すると、支払いファイルの改ざんなどの違法行為に手を染める可能性があります。PC マクロは、制御レポートを使用して開発できる安価な自動化ソリューションです。ただし、調整プロセスはエンドユーザー グループによって実行されるため、健全な独立性や職務の分離は期待できません。したがって、このオプションでは十分な証拠が得られない可能性があります。

説明
情報セキュリティ マネージャーは、リスク関連の行動計画に十分な資金が必要であるという認識を高める責任があります。最高情報責任者 (CIO)、最高財務責任者 (CFO)、および事業部門の管理者は資金支出の最終承認に関与しますが、認識を高める最終的な責任は情報セキュリティ マネージャーにあります。

説明
= リスク許容度とは、組織が目的達成のために受け入れるリスクの量と種類です。これは、情報セキュリティ戦略と目的、およびセキュリティ制御の選択と実装に影響を与える重要な要素です。リスク許容度は、組織が直面するリスクに対処するために制御が十分か、過剰か、または不十分かを判断するための基礎となるため、情報セキュリティ マネージャーが現在実施されている制御の妥当性を評価するために定義する必要があります。情報セキュリティ マネージャーは、制御を組織のリスク許容度に合わせ、制御が効果的、効率的、かつ経済的であることを確認する必要があります。参考文献 = CISM レビュー マニュアル 15 版、29 ページ、31 ページ。