運営委員会は、組織のニーズに応じて情報セキュリティ戦略の実行を管理し、プロジェクトの優先順位と実行計画を決定します。運営委員会は、事業部門に部門予算を割り当てません。規制監督要件が満たされていることを確認することは検討事項の 1 つですが、レビューの主な理由ではありません。事業部門への影響を軽減することは二次的な懸念事項ですが、レビューの主な理由ではありません。

イントラネット サーバーは内部ネットワーク上に配置する必要があります。外部ルーター上に配置した場合、無防備な状態になります。ファイアウォールは、最小限のサービスが有効になっている強化されたサーバー上にインストールする必要があるため、イントラネット サーバーをファイアウォールと同じ物理デバイス上に格納することは適切ではありません。同様に、プライマリ ドメイン コントローラーは通常、イントラネット サーバーと同じ物理デバイスを共有しません。

説明/参照:
Explanation:
情報セキュリティの最終的な責任は経営陣にあるため、経営陣が情報セキュリティ ポリシー ステートメントを承認する必要があります。情報セキュリティ マネージャーが最終承認を行うべきではありません。アクセスを要求する第三者の評価、災害復旧計画の評価、および物理的セキュリティ制御の遵守状況の監視は許容される慣行であり、利益相反は発生しません。

説明
セキュリティ マネージャーは、まず入手可能な情報に基づいて、同様のインシデントが発生する可能性を評価する必要があります。脆弱なテクノロジの使用を中止することは、ビジネスをサポートするために必要になる可能性が高いため、必ずしも現実的ではありません。情報セキュリティ マネージャーがインシデントの影響を最初に評価するまで、すでに実施されている制御により組織が影響を受けていないことを上級管理者に報告するのは時期尚早です。これが調査されるまで、同様のセキュリティ侵害が発生していないことは確実ではありません。

セクション: インシデント管理と対応
Explanation:
インシデント後レビューの主な目的は、プロセスの改善領域を特定することです。継続的な改善のためのプロセスの開発は、すべてのケースに当てはまるわけではありません。セキュリティ プログラム予算のビジネス ケースの開発や新しいインシデント管理ツールの特定は、インシデントの分析から生まれることもありますが、主要な目的ではありません。