リスク評価、評価、そして影響分析は、経営陣の情報セキュリティへの関心を高めるための出発点となります。その他のすべての選択肢は、リスク評価に基づいて決定されます。

このような状況において、情報セキュリティ管理者がまず行うべきことは、リスクアセスメントを実施することです。リスクアセスメントとは、オフィスでのカメラ使用を禁止するポリシー違反から生じる情報セキュリティリスクを特定、分析、評価するプロセスです。リスクアセスメントは、スマートフォンやタブレット端末のカメラが不正または不適切に使用される場合（機密情報の取得、送信、開示、従業員、顧客、パートナーのプライバシーやセキュリティの侵害、法的要件や規制要件への違反など）の発生確率と影響を判断するのに役立ちます。また、リスクアセスメントは、カメラの使用を無効化、制限、監視するための技術的、管理的、または物理的な制御の実装、ポリシーの遵守と認識の徹底、現在のビジネスニーズと環境を反映したポリシーの改訂など、適切なリスク対応オプションを特定し、優先順位を付けるのに役立ちます。さらに、リスクアセスメントは、リスクレベルと状況を上級管理職や関係者に伝達・報告し、ポリシーとリスク管理プロセスの改善と最適化のためのフィードバックと推奨事項を提供するのにも役立ちます。
ポリシーの改訂、根本原因分析の実施、アクセプタブルユースポリシーの周知は、情報セキュリティ管理者がリスク評価を実施した後に実行できる一連のアクションですが、最初に行うべきものではありません。ポリシーの改訂とは、ビジネス目標と戦略に合致し、ビジネスおよび脅威環境の変化と課題に対処し、リスク評価と利害関係者からのフィードバックと提案を取り入れるために、ポリシーを更新および修正するプロセスです。根本原因分析の実施とは、認識、トレーニング、または施行の不足、ポリシーの不一致または曖昧さ、ポリシーとビジネス要件または期待との間の矛盾またはギャップなど、ポリシー違反につながった根本的な原因と要因を調査し、特定するプロセスです。利用規定の周知とは、従業員やスマートフォン・タブレット端末のその他の利用者に対し、ポリシーの目的、適用範囲、内容、利用者の役割と責任、ポリシーの遵守または違反によるメリットと結果、ポリシーに関する問題やインシデントの報告・解決方法とチャネルについて情報提供・教育するプロセスです。参考資料：CISMレビューマニュアル第15版、51～531ページ；CISM練習クイズ、問1482

組織のネットワークへの侵入疑惑を調査する際に、最も効果的な証拠源は、セキュリティ情報イベント管理（SIEM）ツールです。SIEMツールは、ファイアウォール、侵入検知システム、サーバーなど、ネットワーク全体の様々なソースからログデータを収集・集約します。そして、これらのデータを分析し、相関分析することで、潜在的なセキュリティインシデントや侵入の可能性を特定します。

BYODプログラムを導入する前に、組織と従業員の役割と責任、デバイスのセキュリティ要件と管理、許容される行動と許容されない行動、そして違反した場合の結果を規定した利用規定を策定することが非常に重要です。このポリシーは、BYODのリスクとメリットを管理するための明確で一貫性のあるフレームワークを確立するのに役立ちます。
参考文献 = CISMレビューマニュアル、第16版、197ページ