ビジネスに合わせた情報セキュリティ プログラムを計画する際に最も役立つソースは、ビジネス影響分析 (BIA) です。BIA は、組織の業務への中断の潜在的な影響を特定して評価するプロセスであり、中断の影響を軽減するために実装する必要があるセキュリティ制御と対策を特定するのに役立ちます。BIA には、セキュリティ ポリシー、リスク レジスタ、エンタープライズ アーキテクチャなど、組織の情報セキュリティ体制の評価を含める必要があります。この情報を使用して、組織は組織のビジネス目標に合わせた情報セキュリティ プログラムを開発できます。

説明
リスクとコントロールの所有権の割り当てを可能にする最善の方法は、上級管理職の賛同を得ることです。これは、リスクとコントロールの所有者の権限と説明責任を確立し、役割を遂行するために必要なリソースとサポートを提供するのに役立つためです。リスクとコントロールの所有権とは、組織内の個人またはグループに、リスクとコントロールを管理するための特定の責任と説明責任を割り当てることを指します。上級管理職の賛同を得ることは、リスクとコントロールの所有権が組織の目標、構造、文化と一致していることを保証し、リスクとコントロールの所有権の期待と利点をすべての利害関係者に伝えるのに役立ちます。したがって、上級管理職の賛同を得ることが正解です。
参考文献:
* https://www.protechtgroup.com/en-au/blog/risk-control-management
* https://www.mckinsey.com/~/media/mckinsey/dotcom/client_service/risk/working%20papers/23_getting_
* https://www.linkedin.com/pulse/risk-controls-who-owns-them-david-tattam