説明
情報セキュリティ プログラム メトリクスは、組織の情報セキュリティ プログラムの状況を取締役会に示す最良の方法です。プログラムのパフォーマンス、有効性、価値、および現在および新たなリスクとそれに対応する軽減戦略に関する関連性のある有意義な情報を提供するためです。情報セキュリティ プログラム メトリクスは、組織のビジネス目標とリスク許容度に一致している必要があり、取締役会が情報に基づいた決定を下し、監督できるように明確かつ簡潔な方法で提示する必要があります。(CISM レビュー マニュアルより)
第15版）
参考文献: CISM レビューマニュアル第 15 版、37 ページ、セクション 1.3.2.2。

集中型構造の方が管理や制御が容易です。セキュリティ意識の促進は分散型の利点です。分散型では、現場のセキュリティ担当者をセキュリティ伝道師や大使として活用し、セキュリティ意識のメッセージを広めることができます。分散型の運用により、セキュリティ管理者の応答性が向上します。ビジネスに近いため、分散型のセキュリティ管理者は集中型の運用よりも迅速な対応が可能です。