説明
情報セキュリティの要件とプロセスを定義することは、SaaS (Software as a Service) を活用し、ベンダーを選択する取り組みをサポートするために情報セキュリティ マネージャーが最初に行うべきことです。
情報セキュリティの要件とプロセスは、SaaSベンダーとソリューションを評価・比較するための基盤となるだけでなく、SaaSサービスと組織のセキュリティ目標、ポリシー、標準との整合性を確保するための基盤となるからです。情報セキュリティの要件とプロセスには、データ保護、アクセス制御、暗号化、認証、認可、監査、コンプライアンス、インシデント対応、災害復旧、サービスレベル契約といった側面を含める必要があります12。各ベンダーの独立したセキュリティ評価レポート（A）のレビューは、SaaSの活用とベンダー選定の取り組みを支援する上で有用ですが、最初に行うべきことではありません。独立したセキュリティ評価レポートは、業界標準、フレームワーク、規制への準拠、脆弱性とリスク管理、セキュリティテストと監査結果など、SaaSベンダーとソリューションのセキュリティ体制、実践、パフォーマンスに関する貴重な情報を提供します。しかし、独立したセキュリティ評価レポートのレビューは、情報セキュリティの要件とプロセスを定義した後に行うべきであり、これはセキュリティ評価の範囲、基準、期待値を決定するのに役立ちます12。各ベンダーのサービスを業界のベストプラクティスでベンチマークすること (B) も、SaaS を活用しベンダーを選択する取り組みをサポートする上で役立ちますが、最初に行うべきことではありません。各ベンダーのサービスを業界のベストプラクティスでベンチマークすることは、SaaS ベンダーとソリューションの品質、パフォーマンス、価値を測定および比較するのに役立つだけでなく、SaaS サービスのギャップ、強み、弱みを特定するのに役立ちます。ただし、各ベンダーのサービスを業界のベストプラクティスでベンチマークすることは、情報セキュリティの要件とプロセスを定義した後に行う必要があります。これは、SaaS サービスに関連性のある適切な業界のベストプラクティスを選択するのに役立ちます12。リスクを分析し、リスクを軽減するためのコントロールを提案することも、SaaS を活用しベンダーを選択する取り組みをサポートする上で役立ちますが、最初に行うべきことではありません。リスク分析と軽減策の提案は、SaaSベンダーおよびソリューションのセキュリティ、可用性、信頼性に影響を及ぼす可能性のある潜在的な脅威、脆弱性、影響を特定・評価し、リスクを軽減または排除するために必要な対策を推奨・実施するのに役立ちます。ただし、リスク分析と軽減策の提案は、情報セキュリティ要件とプロセスを定義した後に行う必要があります。これは、SaaSサービスのリスク選好度、許容度、および基準を確立するのに役立ちます12。参考文献：1：CISMレビューマニュアル第15版、82～83ページ、2：RFP基準の開発によるSaaSプロバイダーとソリューションの評価方法 - Gartner2

説明/参照:
Explanation:
リスク分析は組織のあらゆる活動を対象に行う必要があります。システムのサブセットやシステムとインフラストラクチャだけに限定されるべきではありません。

セクション: 情報セキュリティプログラム管理