最高執行責任者 (COO) は組織内で高い地位にあり、事業運営と目標について最も多くの知識を持っています。最高内部監査員と最高法律顧問は、このような運営グループの適切なメンバーです。ただし、運営委員会の設立を後援するのは、事業の戦略と方向性に精通した人物である必要があります。セキュリティ マネージャーは、このグループに指示を求めているため、このグループの設立を監督するのに最適な立場にはありません。

説明
ビジネス影響度分析 (BIA) は、セキュリティ インシデントの影響や必要な応答時間などの結果を提供します。BIA は、セキュリティ インシデントが発生した場合に情報システム/ビジネス プロセスのどの部分を優先するかを決定するための最も重要なプロセスです。リスク評価は、ビジネス継続計画を作成するための非常に重要なプロセスです。リスク評価は、セキュリティ インシデントの発生可能性に関する情報を提供し、対策の選択に役立ちます。ただし、優先順位付けには役立ちません。選択肢 B と同様に、脆弱性評価はシステムのセキュリティ上の弱点に関する情報を提供し、リスク分析プロセスをサポートします。ビジネス プロセス マッピングは、重要なビジネス プロセスに関する決定が行われた後のアクションに関するマッピング ガイダンスを提供することで、計画の作成を容易にします (ビジネスの優先順位付けを IT の優先順位付けに変換します)。ビジネス プロセス マッピングは、決定を下すのではなく、決定を実行するのに役立ちます。

説明/参照:
Explanation:
SQL インジェクションの脆弱性は、細工された、または不正な形式のユーザー入力が SQL クエリに直接置き換えられ、情報漏洩につながる場合に発生します。データベース リスナーを強化すると、データベースのセキュリティは強化されますが、SQL インジェクションの脆弱性とは無関係です。正規化は、データベースの有効性と効率性に関係しますが、SQL インジェクションの脆弱性とは関係ありません。SQL インジェクションは、正規化されたデータベースでも発生する可能性があります。SQL インジェクションの脆弱性は、オペレーティング システムではなく、SQL クエリの設計を悪用します。

セクション: 情報セキュリティプログラム管理

説明/参照:
Explanation:
企業全体での暗号化の使用については、文書化された標準手順が必要です。暗号化を使用する状況を定義する必要があります。暗号化アルゴリズムとキーの長さの選択については網羅する必要がありますが、厳密に定義する必要はありません。また、暗号化キーの取り扱いについても取り上げる必要があります。ただし、これは暗号化の使用方法とタイミングよりも二次的な問題です。暗号化ソリューションの使用についても取り上げる必要がありますが、これも二次的な考慮事項です。