説明
たとえ企業が外国でサーバーをホストするベンダーにサーバーを設置することに決めたとしても、企業は所在国の現地の法律や規制に従う義務があります。企業に適用される現地の法律に対する潜在的な違反は、適用される現地の法律に関する知識が不足していることや、法律を執行できないことが原因で、認識または是正 (つまり、起訴) されない可能性があります。オプション B は問題ではありません。時差は 24 時間 365 日の環境では関係ありません。通知を伝達するために、通常はポケベル、携帯電話、電話などが利用できます。オプション C は、追加の資金を必要とする管理可能な問題ですが、対処できます。オプション D は対処可能な問題です。ほとんどのホスティング プロバイダーは、導入されている物理的セキュリティのレベルを標準化しています。定期的な物理的監査または SAS 70 レポートで、このような懸念に対処できます。

セクション: 情報セキュリティプログラム開発
Explanation:
セキュリティ運営委員会の一員である上級管理職は、情報セキュリティ ガバナンス フレームワークを実装する計画を承認するのに最適な立場にあります。内部監査人は上級管理職の権限と影響力に次ぐ存在です。情報セキュリティ管理職には、セキュリティ ガバナンス フレームワークを承認する権限は与えられません。インフラストラクチャ管理職は、ビジネスよりもテクノロジーに重点を置いているため、最適な立場にはありません。

説明
組織がユーザーから、一部のファイルが暗号化されており、ファイルを復号化するために金銭を要求されているという苦情を受けた場合の最善の行動は、インシデント対応を開始することです。
これは、組織がランサムウェア攻撃に直面しているためです。ランサムウェア攻撃は、被害者のデータを暗号化し、復号キーと引き換えに身代金を要求する悪意のあるソフトウェアの一種です。ランサムウェア攻撃は、組織の業務、資産、評判に重大な混乱、損害、損失を引き起こす可能性があります。したがって、組織は、このようなセキュリティ インシデントを調整的かつ効果的かつ効率的に処理するように設計されたインシデント対応計画とチームを迅速に発動する必要があります。インシデント対応プロセスには、次の手順が含まれます1。
準備: インシデント対応チームは、インシデントに対応するために必要なリソース、ツール、および手順を準備します。また、チームは、チーム メンバーとその他の関係者間の役割、責任、およびコミュニケーション チャネルを確立します。
識別: インシデント対応チームは、インシデントの範囲、発生源、重大度を特定します。また、チームは、さらなる分析と調査のために、関連する証拠とログを収集して保存します。
封じ込め: インシデント対応チームは、影響を受けたシステムとネットワークを隔離して、ランサムウェアの拡散を防ぎ、インシデントの影響を制限します。また、チームは、重要な機能とサービスを回復するための一時的または代替のソリューションも実装します。
根絶: インシデント対応チームは、影響を受けたシステムとネットワークからランサムウェアとその感染の痕跡をすべて削除します。また、通常の運用に戻す前に、システムとネットワークがクリーンかつ安全であることを確認します。
復旧: インシデント対応チームは、影響を受けたシステムとネットワークを通常の運用に復元します。
チームは、可能であれば、バックアップやその他のソースから暗号化されたデータを復号化または復元します。また、再発や残存する問題の兆候がないか、システムとネットワークを監視します。
教訓: インシデント対応チームは、インシデント後のレビューを実施して、インシデント対応プロセスとチームの有効性と効率性を評価します。また、チームはインシデントの根本原因、教訓、ベスト プラクティスを特定します。さらに、チームは、将来同様のインシデントを防止または軽減するために必要な改善と是正措置を推奨し、実装します。
参考資料 = CISM レビュー マニュアル、第 16 版、第 4 章: 情報セキュリティ インシデント管理、セクション: インシデント対応プロセス、229 ～ 2331 ページ、CISM レビュー質問、回答、および解説マニュアル、第 10 版、質問 45、432 ページ。

セクション: 情報セキュリティガバナンス
Explanation:
この種の衝突を解決するには、標準の例外を許可するか許可しないかのコストと利点に関する適切なリスク分析に基づく必要があります。このような分析を行わずに、包括的な決定を下すべきではありません。既存の標準を強制することは良い方法ですが、新しいテクノロジーとそれがもたらすリスクを考慮して、標準を継続的に検討する必要があります。適切なリスク評価を行わずに標準を変更すべきではありません。