説明
組織内の単一の連絡窓口は、セキュリティ インシデント コミュニケーション計画にメディア コミュニケーション手順を組み込む際に含めるべき最も重要な要素です。これは、一貫性のある正確なメッセージを一般の人々に確実に伝え、混乱や誤報を回避するのに役立つためです。単一の連絡窓口とは、セキュリティ インシデント発生時に組織に代わってメディアと連絡を取る権限とトレーニングを受けた指定人物です。単一の連絡窓口は、インシデント対応チーム、上級管理職、法律顧問、広報担当者と連携して、メディアに対する適切な声明を適時に準備・提供し、あらゆる問い合わせや要望に対応する必要があります。また、単一の連絡窓口は、他の従業員や利害関係者による無許可または矛盾した開示を防ぎ、組織の評判や法的立場に悪影響を与える可能性があります。したがって、組織内の単一の連絡窓口が正解です。
参考文献:
* https://www.lifars.com/2020/09/communication-during-incident-response/
* https://ifpo.org/resource-links/articles-and-reports/public-and-media-relations/planning-for-effective-medi
* https://www.techtarget.com/searchsecurity/tip/Incident-response-How-to-implement-a-communication-pla

セクション: 情報セキュリティプログラム管理

説明
SaaSソリューションの調達において情報セキュリティ上の懸念事項を確実に考慮するための最良の方法は、調達プロセスに情報セキュリティリスク評価を組み込むことです。これにより、組織はSaaSプロバイダーの利用に伴う潜在的なセキュリティリスクと影響を特定・評価し、組織のリスク許容度とリスク許容度に基づいて最適なソリューションを選択できるようになります。情報セキュリティリスク評価は、ベンダー選定や契約締結前の調達プロセスの初期段階で実施し、契約ライフサイクル全体を通じて定期的に更新する必要があります。
調達チーム（B）に定期的に情報セキュリティ研修を実施することは良い慣行ですが、SaaSソリューション特有のセキュリティ問題や課題に対処するには不十分な場合があります。調達チームには、情報セキュリティリスク評価を実施したり、ベンダーとセキュリティ要件について交渉したりするための専門知識や権限がない可能性があります。
ベストプラクティスに影響を与えるために、定期的な調達チーム会議にITメンバーを招待することも良い方法ですが、ITメンバーが実際の調達プロセスや意思決定に関与していない場合は、効果が出ない可能性があります。ITメンバーには、情報セキュリティリスク評価を実施したり、調達契約においてセキュリティ上の懸念事項が適切に対処されているかを確認したりする機会や影響力がない可能性があります。
SaaSベンダーとの調達契約において監査権を行使することは重要な管理策ですが（D）、調達プロセスにおいて情報セキュリティ上の懸念事項が考慮されるようにするための最も効果的な方法とは言えません。監査権は、契約締結後に組織がSaaSプロバイダーのセキュリティ管理体制とコンプライアンスを検証するための手段であり、SaaSソリューションの利用から生じる可能性のあるセキュリティリスクを防止または軽減するものではありません。監査権は、調達契約において情報セキュリティリスク評価やその他のセキュリティ要件を規定することで補完されるべきです。
参考文献 = CISMレビューマニュアル（デジタル版）、第3章：情報セキュリティプログラムの開発と管理、セクション：情報セキュリティプログラム管理、サブセクション：調達とベンダー管理、141～1421ページ