説明/参照:
Explanation:
ソーシャルエンジニアリングを最も効果的に軽減するには、標的となる可能性のあるユーザーに対して、定期的なセキュリティ意識向上トレーニングを実施する必要があります。パスワードを画面上でマスキングし、パスワード変更頻度を高めることは望ましいですが、ソーシャルエンジニアリング攻撃の成功率を低減する効果は期待できません。セキュリティポリシーでパスワードの秘密保持を義務付けることは有効な対策ですが、ソーシャルエンジニアリングの危険性についてユーザーに警告する定期的なセキュリティ意識向上プログラムほど効果的ではありません。

説明
組織が混乱発生時に許容可能な時間枠内で、かつ事前に定義されたキャパシティで製品とサービスの提供を継続できるようにする最良の選択肢は、事業継続計画（BCP）です。これは、BCPが自然災害、サイバー攻撃、パンデミックなどの混乱に備え、対応し、回復するための手順と情報を文書化した集合体であるためです。BCPの目的は、顧客や利害関係者への製品とサービスの提供を支える重要なビジネス機能とプロセスの継続性を確保することです。また、BCPは、混乱発生時に組織の運用レジリエンス（回復力）を維持するために必要な役割、責任、リソース、およびアクションも定義します。
参考文献 = CISMレビューマニュアル第15版、第4章、セクション4.2.3、ページ2141; CISMレビュー問題、解答と解説マニュアル第9版、質問6、ページ3

ビジネス影響分析（BIA）は、組織のミッション、目標、および業務への混乱やインシデントの潜在的な影響を特定し、評価するプロセスです。BIAは定期的に実施し、混乱やインシデントを防止、軽減、または回復するために実施されている管理策の有効性を検証する必要があります12。
CISMマニュアルによると、重要なシステムとプロセスについては少なくとも年に1回、重要でないシステムとプロセスについてはより頻繁にBIAを実施する必要があります3。また、新しい規制、テクノロジー、ビジネスモデル、ステークホルダーの期待など、組織の環境に大きな変化があった場合は、BIAを更新する必要があります3。BIAは、環境変化に対する脆弱性の検証（A）、資産の重要性の分析（B）、規制へのコンプライアンスの確認には使用すべきではありません。これらはBIAの主な目的ではないためです。
参考資料: 1: IR 8286D、ビジネス影響分析を用いたリスクの優先順位付けと対応 | CSRC NIST 2: CISM ドメイン 4 プレビュー | BCP - ビジネス影響分析 (BIA) - YouTube 3: CISM 項目開発ガイド - ISACA

説明
災害復旧計画（DRP）を効果的に実行する最善の方法は、災害発生時にスタッフがアクセスできるよう、プライマリ拠点とフェイルオーバー拠点の両方で手順書を整備しておくことです。手順書は明確かつ簡潔で、最新の状況と要件を反映して定期的に更新する必要があります。両方の拠点で手順書を整備しておくことで、復旧プロセスにおける混乱や遅延を回避することにも役立ちます。
参考資料 = CISM レビューマニュアル、第 16 版 eBook1、第 9 章: ビジネス継続性と災害復旧、セクション: 災害復旧計画、サブセクション: 災害復旧計画の策定、373 ページ。