最小権限の原則を実装するには、まず職務を特定する必要があります。職務とは、組織内の役割の一環として個人が遂行する具体的なタスクと責任です。職務を特定することで、組織は各個人に割り当てられた機能を遂行するために必要な最小限のアクセス権限のみを決定できます。これにより、情報やリソースへの不正アクセス、誤用、または侵害のリスクを軽減できます。最小権限の原則は、すべてのモジュール（ユーザー、プロセス、プログラムなど）が、その正当な目的に必要な情報とリソースのみにアクセスできるようにする必要があるという重要なセキュリティ原則です12。
その他の選択肢は、最小権限の原則を実装するために特定する必要がある主要な要因ではありません。データ所有者とは、データの分類、使用、および保護を定義する権限と責任を持つ個人または団体です。データ所有者はデータへのアクセス権限の付与または取り消しに関与する場合がありますが、データ利用者の職務を特定する者ではありません。主要なリスク要因とは、組織に潜在的な損害や損失をもたらす原因または源泉です。主要なリスク要因は、ユーザーに付与されるアクセス権限のレベルに影響を与える可能性がありますが、ユーザーの職務を特定する者ではありません。
認証制御とは、リソースへのアクセスを許可する前に、ユーザーまたはシステムの身元を確認するメカニズムです。認証制御は最小権限の原則を強制することはできますが、ユーザーの職務を決定するものではありません。参考文献 = 最小権限の原則 最小権限の原則とは何か、なぜ重要なのか？ - F5 1
4

組織がユーザーからファイルの一部が暗号化され、復号化のために金銭を要求されているという苦情を受けた場合、最善の行動はインシデント対応を開始することです。これは、組織がランサムウェア攻撃に直面しているためです。ランサムウェア攻撃は、被害者のデータを暗号化し、復号化キーと引き換えに身代金を要求する悪意のあるソフトウェアの一種です。ランサムウェア攻撃は、組織の業務、資産、そして評判に重大な混乱、損害、そして損失をもたらす可能性があります。したがって、組織は、このようなセキュリティインシデントに協調的、効果的、かつ効率的に対応できるよう設計されたインシデント対応計画とチームを迅速に発足させる必要があります。インシデント対応プロセスは、以下のステップで構成されます1。
準備：インシデント対応チームは、インシデントへの対応に必要なリソース、ツール、手順を準備します。また、チームメンバーとその他の関係者間の役割、責任、コミュニケーションチャネルを確立します。
特定：インシデント対応チームは、インシデントの範囲、発生源、および重大度を特定します。また、さらなる分析と調査のために、関連する証拠とログを収集・保存します。
封じ込め：インシデント対応チームは、ランサムウェアの拡散を防ぎ、インシデントの影響を最小限に抑えるため、影響を受けたシステムとネットワークを隔離します。また、重要な機能とサービスを復旧するための一時的な解決策や代替策も実施します。
根絶：インシデント対応チームは、影響を受けたシステムとネットワークからランサムウェアとその感染痕跡をすべて削除します。また、システムとネットワークがクリーンで安全であることを確認した上で、通常の運用に戻します。
復旧：インシデント対応チームは、影響を受けたシステムとネットワークを通常運用に復旧します。また、可能であれば、バックアップやその他のソースから暗号化されたデータを復号または復元します。さらに、システムとネットワークを監視し、再発や残存する問題の兆候がないか確認します。
教訓：インシデント対応チームは、インシデント発生後のレビューを実施し、インシデント対応プロセスとチームの有効性と効率性を評価します。また、インシデントから得られた根本原因、教訓、ベストプラクティスを特定します。さらに、将来同様のインシデントを防止または軽減するために必要な改善策と是正措置を推奨し、実施します。
参照 = CISM レビューマニュアル、第 16 版、第 4 章: 情報セキュリティインシデント管理、セクション: インシデント対応プロセス、229 ～ 2331 ページ; CISM レビュー質問、回答および解説マニュアル、第 10 版、質問 45、432 ページ。

予防管理とは、組織の目標やパフォーマンスに影響を及ぼす可能性のある潜在的な有害事象の発生や影響を防止または軽減することを目的とした管理の一種です。予防管理は、インシデントが発生する前に実施されるプロアクティブな対策であり、リスクの根本原因または発生源に対処するように設計されています。予防管理は、組織が情報セキュリティに関する関連法規制、標準、およびベストプラクティスを遵守するのにも役立ちます1。
予防的管理策の一例としては、冗長電源が挙げられます。これは、停電や障害発生時に利用可能なバックアップまたは代替電源です。冗長電源は、自然災害、技術的障害、人為的ミス、悪意のある攻撃などによる電力供給の中断に起因する重要なシステム停止に伴うビジネスリスクを軽減します。冗長電源は、情報セキュリティにおいて以下のメリットをもたらします2。
サーバー、データベース、ネットワーク、アプリケーションなど、電力に依存する重要なシステムとサービスの可用性と継続性を維持します。冗長電源により、重要なシステムとサービスが通常通り動作し、停電や障害発生後も迅速に復旧できるため、組織の業務、顧客、または評判に影響を与える可能性のあるダウンタイムとデータ損失を最小限に抑えることができます。
コンピュータ、ハードドライブ、メモリカードなど、電力に依存するデバイスによって保存または処理される重要なシステムとデータの整合性と信頼性を保護します。冗長電源は、突然の予期せぬ電力変動、サージ、または中断によって引き起こされる重要なシステムとデータの損傷や破損を防止または軽減し、情報の正確性、完全性、または一貫性を損なう可能性があります。
重要なシステムとサービスを支える電力インフラとネットワークの耐障害性と冗長性を強化します。冗長電源は、電力供給と配電のための代替ルートまたはバックアップルートを提供し、電力インフラとネットワークの柔軟性と適応性を高め、電力供給や需要のさまざまなシナリオや状況に対応します。
その他の選択肢は、組織が検討している管理の種類ではありません。是正管理とは、インシデント発生後に、影響を受けたシステムまたはプロセスを通常の状態または機能に復元または回復することを目的とした管理の一種です。是正管理は、インシデント発生中または発生後に実施される事後対応​​策であり、リスクの結果または影響に対処するように設計されています。また、是正管理は、組織がインシデントから学び、情報セキュリティ対策を改善するのに役立ちます1。是正管理の例としては、バックアップまたはリストアシステムが挙げられます。これは、インシデントによって失われたり破損したりしたシステムまたはデータのコピーを作成し、復元する方法です。
発見的コントロールとは、インシデントの発生または存在、あるいはシステムやプロセスの期待される状態や動作からの逸脱を特定または発見することを目的としたコントロールの一種です。発見的コントロールは、インシデント発生中または発生後に実施される監視または監査措置であり、リスクに関する情報または証拠を提供するように設計されています。また、発見的コントロールは、組織がインシデントを分析または調査し、リスクの根本原因または発生源を特定するのに役立ちます1。発見的コントロールの例として、ログシステムまたはアラートシステムが挙げられます。これは、システムまたはプロセス内で発生した、または発生中のアクティビティやイベントを記録または報告するためのツールです。
抑止制御とは、潜在的な加害者やリスク源がインシデントや攻撃を開始または継続することを抑止または思いとどまらせることを目的とした制御の一種です。抑止制御とは、インシデント発生前または発生中に実施される心理的または行動的な対策であり、リスクの動機や意図に影響を与えたり、操作したりすることを目的としています。抑止制御は、組織がインシデントや攻撃の発生確率や頻度を低減するのにも役立ちます1。抑止制御の一例としては、警告システムや通知システムが挙げられます。これは、情報セキュリティポリシーや規則に違反した場合の結果や罰則を伝達または表示する方法です。参考資料 = リスク管理手法：予防的、是正的、指示的、そして…、CI​​SSPでさまざまな種類のセキュリティ管理を学ぶ - Eduonixブログ

組織全体で意識向上トレーニングを実施することは、標的型メール攻撃によるセキュリティインシデントのリスクを軽減する最善の方法です。従業員がこうした攻撃を認識し、被害を回避できるよう教育し、その能力を高めるのに役立つからです。フィッシング、スピアフィッシング、ビジネスメール詐欺などの標的型メール攻撃は、ソーシャルエンジニアリングの手法を用いて受信者を欺き、悪意のあるリンクをクリックさせたり、悪意のある添付ファイルを開かせたり、機密情報を開示させたりします。意識向上トレーニングは、従業員のセキュリティ文化と行動レベルを向上させるだけでなく、標的型メール攻撃から自分自身と組織を守るための実用的なヒントやベストプラクティスを提供するのにも役立ちます。
したがって、組織全体で意識向上トレーニングを実施することが正しい答えです。
参考文献:
* https://almanac.upenn.edu/articles/one-step-ahead-dont-get-caught-by-targeted-email-attacks
* https://www.microsoft.com/en-us/security/business/security-101/what-is-business-email-compromise- bec
* https://www.csoonline.com/article/3334617/what-is-spear-phishing-examples-tactics-and-techniques.
html

ビジネスクライアントは、データの所有者であり、アプリケーションの主要な利害関係者であるため、クライアント情報を処理するアプリケーションへのアクセスレベルを決定する責任を負う必要があります。ビジネスクライアントは、アプリケーションのビジネス要件、目的、期待、そしてデータの機密性、価値、重要性について、最も深い知識と理解を有しています。また、ビジネスクライアントは、最小権限の原則と職務分離の原則に基づいて、ユーザーの役割と責任、およびユーザーのアクセス権と権限を定義することもできます。さらに、ビジネスクライアントは、アクセスレベルとアプリケーションの使用状況を監視およびレビューし、アクセスレベルが組織の情報セキュリティポリシーと標準に準拠していることを確認することもできます。
情報セキュリティ チーム、ID およびアクセス管理チーム、およびビジネス ユニット管理はすべて、クライアント情報を処理するアプリケーションへのアクセス レベルを決定するプロセスに関与しますが、主要な責任者ではありません。情報セキュリティ チームは、アプリケーションの情報セキュリティのベスト プラクティス、制御、および標準についてビジネス クライアントにガイダンス、サポート、および監視を提供し、アクセス レベルが組織の情報セキュリティ戦略およびガバナンスに準拠していることを確認します。ID およびアクセス管理チームは、アプリケーションのアクセス レベルとアクセス制御メカニズムを実装、維持、および監査し、アクセス レベルが組織の ID およびアクセス管理のポリシーと手順に準拠していることを確認します。ビジネス ユニット管理は、アプリケーションのアクセス レベルとアクセス要求を承認、許可、および後援し、アクセス レベルがビジネス ユニットの目標と戦略と一致していることを確認します。参考文献 = ISACA、CISM レビューマニュアル、第 16 版、2020 年、125 ～ 126 ページ、129 ～ 130 ページ、133 ～ 134 ページ、137 ～ 138 ページ。
ISACA、CISM レビューの質問、回答と説明のデータベース、第 12 版、2020 年、質問 ID 1037。