セクション: 情報セキュリティガバナンス

セクション: 情報セキュリティプログラム管理
Explanation:
組織が安全プログラムのレベルを向上させるための対策を講じることができない場合、継続的な改善は不可能です。セキュリティに関するサービスレベル契約（SLA）の策定、企業のセキュリティ基準を国際標準に整合させること、そして規制遵守を確保することは望ましいことではありますが、継続的な改善プログラムにとって重要な要素ではありません。

説明
公開Webサーバーに対する分散型サービス拒否（DDoS）攻撃は、正当なユーザーや顧客がWebサービスやリソースにアクセスできないようにするなど、不正アクセスの阻止を最大の脅威としています。DDoS攻撃は、正当なユーザーや顧客によるWebサービスやリソースへのアクセスを妨害し、混乱や不満、そして収益や評判の損失につながる可能性があります。不正なコマンドの実行はDDoS攻撃ではなく、リモートコード実行（RCE）攻撃による脅威です。Webサイトコンテンツの改ざんはDDoS攻撃ではなく、Webアプリケーション攻撃による脅威です。リソースへの不正アクセスはDDoS攻撃ではなく、ブルートフォース攻撃や認証バイパス攻撃による脅威です。参考資料：
https://www.isaca.org/resources/isaca-journal/issues/2017/volume-6/the-value-of-penetration-testing
https://www.isaca.org/resources/isaca-journal/issues/2016/volume-5/security-scanning-versus-penetration-testing

セクション: 情報セキュリティプログラム開発
Explanation:
アクセス制御リストの見直しは、情報セキュリティ管理者が許可された人物が企業ポリシーに従って入室していることを確認できる発見的制御です。警備員を同伴した訪問者も安全対策となりますが、費用対効果は低い可能性があります。次に費用対効果の高い制御は、訪問者登録簿です。生体認証とPINを組み合わせることでアクセス制御は強化されますが、コンプライアンス保証ログの確認は依然として必要です。