説明/参照:
Explanation:
まず、変更の正当性、実施する変更の分析、変更が期待どおりに機能しない場合の影響、変更の優先度、変更要求の緊急性を示す影響評価レポートを作成する必要があります。選択肢B。
C と D は重要なステップになる可能性がありますが、影響評価レポートは他のステップの前に実行する必要があります。

説明
インシデント対応計画の効果的な実行は、計画で定義されたタスクと活動を実行する責任を負う対応チームの能力と準備状況に大きく依存します。したがって、インシデント対応計画の効果的な実行を促進する最善の方法は、対応チームが計画についてトレーニングを受け、役割、責任、手順、およびツールに精通していることを確認することです。対応チームに計画についてトレーニングを行うことは、インシデント対応中のチームの自信、コミュニケーション、調整、およびコラボレーションの向上にも役立ちます。その他の選択肢は、インシデント対応計画の策定や改善において重要な要素となる可能性はありますが、インシデント対応計画の効果的な実行を促進する最善の方法ではありません。計画はリスク評価結果と業界のベストプラクティスに基づく必要がありますが、これらは計画が効果的に実行されることを保証するものではありません。インシデント対応計画はIT災害復旧計画と整合させる必要がありますが、これによって対応チームが準備を整え、計画を実行できることが保証されるわけではありません。参考資料 = CISM レビューマニュアル、第 16 版、1031 ページ インシデント対応計画の効果的な実行を促進する最善の方法は、対応チームが計画についてトレーニングを受けていることを確認することです。インシデント対応計画とは、セキュリティインシデントの検出、対応、回復に関する役割、責任、手順、ツールを定義した一連の指示書です。インシデント対応チームは、インシデント対応プロセス中に特定のタスクとアクティビティを実行するために割り当てられた個人のグループです。対応チームには、セキュリティアナリスト、IT スタッフ、法律顧問、広報担当者、その他の関係者が含まれる場合があります。インシデント対応計画を効果的に実行するには、対応チームが計画についてトレーニングを受けている必要があります。つまり、対応チームは計画の以下の側面に精通している必要があります。
計画の範囲と目的 各チーム メンバーの役割と責任 コミュニケーションおよびエスカレーション プロトコル インシデントの分類と優先順位付けの基準 インシデント対応の手順とツール インシデントの文書化と報告の要件 インシデントのレビューと改善のプロセス 対応チームに計画のトレーニングを実施することで、組織はチーム メンバーがセキュリティ インシデントの発生に備えて準備を整え、対処する自信をつけ、効率的かつ一貫してタスクを実行できるようになります。その他のオプションは、プロセスのステップまたは結果になる場合もありますが、インシデント対応計画の効果的な実行を促進する最善の方法ではありません。リスク評価結果に基づいた計画は、組織のリスク プロファイルと一致し、最も関連性が高く可能性の高い脅威と脆弱性に対処するため、望ましい方法です。ただし、対応チームが計画のトレーニングを受けない限り、計画が効果的に実行されることは保証されません。業界のベスト プラクティスに基づいた計画は、インシデント対応の確立された標準とガイドラインに従ったものになるため、望ましい方法です。しかし、対応チームが計画について訓練を受けていない限り、計画が効果的に実行されることを保証するものではありません。IT災害復旧計画（DRP）と整合したインシデント対応計画は、目標、範囲、役割、手順、ツールの点で計画の一貫性と連携を確保するため、望ましい実践です。しかし、対応チームが計画について訓練を受けていない限り、計画が効果的に実行されることを保証するものではありません。

サーバーベースのマルウェア保護が実施されていない場合、Web ベースのアプリケーションとそのデータが、情報の機密性、整合性、および可用性を危険にさらす可能性のある悪意のあるソフトウェアからの潜在的な脅威にさらされるため、情報セキュリティ マネージャーにとって最大の懸念事項となります。
サーバーベースのマルウェア対策は、アプリケーションが実行されるサーバー上でのウイルス、ワーム、トロイの木馬、ランサムウェアなどの悪意のあるアクティビティを監視およびブロックするセキュリティ制御です。サーバーベースのマルウェア対策がないと、Web ベースのアプリケーションは、サーバーに保存されているデータを破損または破壊したり、アプリケーションの通常の機能を中断したりする攻撃に対して脆弱になる可能性があります。その他の問題も重要ですが、サーバーベースのマルウェア対策ほど重大ではありません。アプリケーションが安全な通信プロトコルを使用していないため、送信中の機密データが権限のない第三者による盗聴や傍受の危険にさらされる可能性があります。アプリケーションに制限的なアクセス制御が設定されている場合、正当なユーザーのアクセス権が承認されたリソースに制限される可能性がありますが、権限のないユーザーが他の手段でアクセスするのを防ぐことはできません。ビジネス プロセスには 1 レベルのエラー チェックしかないため、データ入力または処理に誤りや矛盾が生じる可能性がありますが、データの品質や正確性は保証されません。参考文献 = CISM レビュー マニュアル、第 16 版、1751 ページCISM復習問題、解答、解説マニュアル、第10版、812ページ

説明/参照:
Explanation:
リスクと成功基準を適切に理解するためには、スコープを明確に定義することが最も重要です。上級管理職の判断によっては、ITマネジメントの承認が必要ない場合もあります。コミュニケーション、意識向上、インシデント対応計画は必須ではありません。実際、侵入テストはインシデント対応計画の策定と実行を促進するのに役立ちます。