説明
一貫性のあるセキュリティは、情報セキュリティ マネージャーにとって組織のさまざまな保証機能を統合する主な理由です。一貫性のあるセキュリティにより、セキュリティ ポリシーと標準が組織内のさまざまなドメイン、プロセス、システムにわたって均一かつ効果的に適用されることが保証されるためです。
包括的な監査は、様々な保証機能を統合する主な理由ではなく、むしろその結果として得られる可能性のある成果またはメリットです。セキュリティ意識の高い文化は、様々な保証機能を統合する主な理由ではなく、むしろ組織にとって望ましい状態または目標です。ポリシーの遵守は、様々な保証機能を統合する主な理由ではなく、むしろ組織の基本要件または期待です。参考資料：
https://www.isaca.org/resources/isaca-journal/issues/2016/volume-4/integrating-assurance-functions
https://www.isaca.org/resources/isaca-journal/issues/2017/volume-3/how-to-measure-the-effectiveness-of-your-i

説明
誤検知の減少は、情報セキュリティ管理者がシステムを調整し、組織の侵入防止システム（IPS）が業務運営に繰り返し支障をきたす可能性があるという経営陣の懸念に対応していることを示す最良の指標です。誤検知とは、IPSが正当なトラフィックやアクティビティを誤ってブロックし、業務中断やダウンタイムを引き起こした際に生成されるアラートです。誤検知の減少は、IPSがそのようなエラーを削減し、不要な中断を最小限に抑えるように設定されていることを意味します。誤検知の増加は、IPSが悪意のあるトラフィックやアクティビティを検出またはブロックできず、侵害や損害のリスクが高まっていることを意味するため、良い指標ではありません。誤検知の減少は、業務運営に影響を与えることなく、セキュリティの検出や防止を向上させるため、良い指標ではありません。誤検知の増加は、IPSのエラーや中断が増加し、経営陣の懸念が悪化していることを意味するため、良い指標ではありません。参考文献：
https://www.isaca.org/resources/isaca-journal/issues/2017/volume-6/the-value-of-penetration-testing
https://www.isaca.org/resources/isaca-journal/issues/2016/volume-5/security-scanning-versus-penetration-testing

SaaSソリューションの調達において情報セキュリティ上の懸念事項を確実に考慮するための最良の方法は、調達プロセスに情報セキュリティリスク評価を組み込むことです。これにより、組織はSaaSプロバイダーの利用に伴う潜在的なセキュリティリスクと影響を特定・評価し、組織のリスク許容度とリスク許容度に基づいて最適なソリューションを選択できるようになります。
情報セキュリティリスク評価は、ベンダーの選択や契約の締結前の調達プロセスの初期段階で実施する必要があり、契約ライフサイクル全体を通じて定期的に更新する必要があります。
調達チーム（B）に定期的に情報セキュリティ研修を実施することは良い慣行ですが、SaaSソリューション特有のセキュリティ問題や課題に対処するには不十分な場合があります。調達チームには、情報セキュリティリスク評価を実施したり、ベンダーとセキュリティ要件について交渉したりするための専門知識や権限がない可能性があります。
ベストプラクティスに影響を与えるために、定期的な調達チーム会議にITメンバーを招待することも良い方法ですが、ITメンバーが実際の調達プロセスや意思決定に関与していない場合は、効果が出ない可能性があります。ITメンバーには、情報セキュリティリスク評価を実施したり、調達契約においてセキュリティ上の懸念事項が適切に対処されているかを確認したりする機会や影響力がない可能性があります。
SaaSベンダーとの調達契約において監査権を行使することは重要な管理策ですが（D）、調達プロセスにおいて情報セキュリティ上の懸念事項が考慮されるようにするための最も効果的な方法とは言えません。監査権は、契約締結後に組織がSaaSプロバイダーのセキュリティ管理体制とコンプライアンスを検証するための手段であり、SaaSソリューションの利用から生じる可能性のあるセキュリティリスクを防止または軽減するものではありません。監査権は、調達契約において情報セキュリティリスク評価やその他のセキュリティ要件を規定することで補完されるべきです。
参考資料 = CISMレビューマニュアル（デジタル版）、第3章：情報セキュリティプログラムの開発と管理、セクション：情報セキュリティプログラム管理、サブセクション：
調達とベンダー管理、141～1421ページ