セクション: 情報セキュリティプログラム管理
Explanation:
侵入テストは、境界セキュリティが適切であることを確認するための最良の方法です。侵入検知システム（IDS）は攻撃の試みを検知することはできますが、境界が保護されているかどうかを確認することはできません。
最低限のセキュリティ ベースラインとベンダー推奨設定の適用は有益ですが、侵入テストによって提供されるレベルの保証は提供されません。

= 変更管理コントロールは、重要なビジネス アプリケーションの可用性を阻害する可能性のある脆弱性の導入を防ぐのに最も効果的です。変更管理コントロールとは、情報システムおよびインフラストラクチャに対する変更の開始、承認、実装、テスト、および文書化を管理するポリシー、手順、およびプラクティスです。変更管理コントロールは、変更が承認、計画、管理、および監視され、システムまたはアプリケーションのセキュリティ、機能、パフォーマンス、または信頼性に意図しない影響や悪影響が生じないようにするのに役立ちます。また、変更管理コントロールは、変更によって発生する可能性のある潜在的なリスクや問題を特定して軽減し、変更がビジネス目標および要件に適合していることを確認するのにも役立ちます。変更管理コントロールを実装することで、組織は重要なビジネス アプリケーションの可用性を阻害する可能性のある脆弱性の導入を防ぐとともに、変更プロセスの品質と効率を向上させることができます。参考文献 = 『CISM レビュー マニュアル 第 15 版』、105 ページ、106 ページ。

ISO/IEC 27001などの国際セキュリティ規格に関するベンダーの認証を信頼する前に、情報セキュリティ管理者は、認証範囲が提供されるサービスに関連していることを確認することが最も重要です。認証範囲は、ベンダーが実装および監査した情報セキュリティ管理システム（ISMS）の境界と適用範囲を定義します。認証範囲は、クライアントへのサービス提供に関わるプロセス、活動、資産、および拠点をカバーする必要があります。認証範囲が狭すぎたり、広すぎたり、サービス内容と一致していない場合、認証はベンダーのセキュリティ能力とパフォーマンスを十分に保証できない可能性があります。
セキュリティプロセスの評価に最新の国際規格が使用されているかどうか（A）は重要な要素ですが、最も重要な要素ではありません。情報セキュリティ管理者は、ベンダーの認証が、情報セキュリティに関する最新のベストプラクティスと要件を反映した最新バージョンの規格に基づいていることを確認する必要があります。ただし、規格自体は汎用的で適応性が高く、特定のセキュリティ管理策やソリューションを規定するものではありません。したがって、認証は、ベンダーが提供するサービスに対して最も適切または効果的なセキュリティプロセスを実装していることを保証するものではありません。
認証は契約期間中有効に維持される（B）ことも重要な要素ですが、最も重要な要素ではありません。情報セキュリティ管理者は、ベンダーの認証が有効かつ最新であること、そしてベンダーが契約期間を通じて標準への準拠を維持していることを確認する必要があります。
ただし、認証は一度限りのイベントではなく、定期的な監視監査と3年ごとの再認証を必要とする継続的なプロセスです。したがって、この認証によって、ベンダーのセキュリティ能力とパフォーマンスが契約期間中一貫して、または満足のいく水準を維持することが保証されるわけではありません。
認証は顧客の事業にも適用可能であるか（D）は、認証がベンダーのISMSに特化しており、顧客の事業には適用されないため、関連要因ではありません。情報セキュリティマネージャーは、ベンダーの認証を、顧客自身のセキュリティポリシー、標準、または管理策の代替または補完として利用すべきではありません。情報セキュリティマネージャーは、ベンダーのデューデリジェンスとリスク評価を実施し、両者のセキュリティの役割、責任、期待、および指標を定義する明確かつ包括的なサービスレベル契約（SLA）を確立する必要があります。
参考文献 = CISMレビューマニュアル、第16版、第3章：情報セキュリティプログラムの開発と管理、セクション：情報セキュリティプログラム管理、サブセクション：調達とベンダー管理、142～1431ページ

情報セキュリティチームに事後レビューを実施させる際には、常に利益相反を回避することが望ましい。第三者チームの専門知識向上のための支援を得ることはメリットの一つではあるが、それが主な動機ではない。事後レビューを実施する主な目的は、情報セキュリティ管理プロセスをさらに改善するための教訓を特定することである。情報セキュリティプログラムへの支持をより強固なものにすることは、第三者チームを関与させる正当な理由にはならない。