説明
情報セキュリティガバナンスフレームワークとは、組織の目標と戦略を支える効果的な情報セキュリティプログラムの開発、実装、管理を導くための、一連の原則、ポリシー、標準、プロセスです。このフレームワークは、リスクとコントロールのバランスを取りながらビジネス目標を達成するための方向性を示し、情報セキュリティ活動をビジネスニーズ、優先事項、リスク許容度と整合させ、セキュリティリソースと投資が最適化され、正当化されることを保証します。
参考資料 = CISMレビューマニュアル2022、321ページ; CISM試験内容概要、ドメイン1、知識ステートメント1.22; CISMドメイン1：情報セキュリティガバナンス2022年更新

セクション: 情報セキュリティガバナンス
Explanation:
最高情報セキュリティ責任者（CISO）は、組織内の可能な限り上位の責任者に報告するのが理想的です。選択肢としては、最高執行責任者（COO）が適切な職務を遂行できるだけでなく、日常業務に関する知識も備えています。内部監査責任者や法務顧問も、業務に関する知識はCISOほど豊富ではありませんが、次善の選択肢として適しています。最高技術責任者（CTO）への報告は、CTOのインフラに関する目標が情報セキュリティの目標と相反する可能性があるため、問題となる可能性があります。

セクション: 情報リスク管理

説明/参照:
Explanation:
管理目標とセキュリティ手順を整合させるには、セキュリティポリシーを改訂する必要があります。管理目標はポリシーに、ポリシーは手順に反映されます。セキュリティ手順には、コンピュータインシデント対応・管理グループなどの専門チームに加え、セキュリティアーキテクチャを構成するセキュリティメカニズムなどの専門ツールも必要です。セキュリティ意識の向上は、ポリシー、手順、そしてセキュリティメカニズムの適切な活用を促進します。