説明
リスク所有者とは、リスクが効果的に管理されることを保証する責任を負う個人または団体です。リスク所有者の主な責任の 1 つは、リスクを軽減または管理するのに役立つ制御を実装することです。
リスク評価、組織のリスク許容度の決定、および制御の有効性の監視はすべてリスク管理の重要な側面ですが、リスクを管理するために必要な措置を講じるのはリスク所有者の責任です。

説明
ポリシーとは、組織の信念、目標、役割、目的を高レベルで記述したものです。ベースラインは、組織全体にわたって最低限のセキュリティ レベルを前提としています。情報セキュリティ戦略は、制御ステートメントを作成するのではなく、情報セキュリティ プログラムをビジネス目標に合わせます。手順とは、ポリシーと標準を実装する方法を段階的に記述したプロセスです。

説明
継続的な監視は、組織の情報資産やリスク状況に影響を及ぼす可能性のあるセキュリティ状態、脆弱性、脅威を継続的に認識できるため、情報セキュリティ環境の変化を特定する最も効果的な方法です。継続的な監視は、セキュリティ制御とプロセスのパフォーマンスと有効性を評価し、逸脱やインシデントを適時に検出して対応するのにも役立ちます。(CISM レビュー マニュアル 15 版および NIST 特別出版物 800-1371 より) 参照: CISM レビュー マニュアル 15 版、181 ページ、セクション 4.3.2.4、NIST 特別出版物
800-1371、ページ1、セクション1.1。