説明
情報資産分類の主な目的は、C. リスク管理です。これは、情報資産分類が、情報資産の価値、機密性、および組織にとっての重要度に基づいて、情報資産にラベルまたはカテゴリを割り当てるプロセスであるためです。情報資産分類は、組織が情報資産に関連するリスクを特定、評価、および対処し、適切なレベルの保護と管理を適用するのに役立ちます。また、情報資産分類は、組織が情報資産に関する法的、規制的、および契約上の義務を遵守し、情報セキュリティのためのリソースとコストの使用を最適化するのにも役立ちます。
情報資産分類とは、情報資産の価値、機密性、および組織にとっての重要度に基づいて、情報資産にラベルまたはカテゴリを割り当てるプロセスです。情報資産分類は、組織が情報資産に関連するリスクを特定、評価、対処し、適切なレベルの保護と管理を適用するのに役立ちます。（CISMマニュアルまたは関連リソースより）参考文献：CISMレビューマニュアル第15版、第2章、セクション2.2.1、751ページ；CISMレビュー問題、解答、解説マニュアル第9版、問7、3ページ；認定情報セキュリティマネージャー試験対策ガイド - Packtサブスクリプション2

説明/参照:
Explanation:
データ所有者はデータ分類の決定に責任を負います。この場合、財務部門の経営陣が会計元帳データの所有者となります。データベース管理者（DBA）とIT管理者はデータの管理者として、分類に適切なセキュリティレベルを適用します。一方、セキュリティ管理者はアドバイザー兼執行者として機能します。

脅威インテリジェンスは、APT（高度な持続的脅威）を実行する攻撃者の情報源、手法、意図に関する関連性の高い実用的な情報を提供するため、企業をAPTから保護する上で最も有効な手段です。脅威インテリジェンスは、企業を標的とするAPTを特定・予測するだけでなく、情報セキュリティプログラムの検出、防御、対応能力を強化するのに役立ちます。また、APTの影響と期間を軽減し、企業の回復力と復旧力を向上させることにも役立ちます。脅威インテリジェンスは、社内データ、外部フィード、業界関係者、政府機関、セキュリティベンダーなど、さまざまなソースから入手できます。
その他の選択肢は、脅威インテリジェンスほど有用ではありません。なぜなら、それらはAPT攻撃から企業を保護するための具体的かつタイムリーな方法を提供しないからです。セキュリティポリシーの更新は、企業内の情報セキュリティに関するルール、役割、責任を確立し、情報セキュリティプログラムをビジネス目標、標準、規制に適合させるために重要です。しかし、セキュリティポリシーの更新だけでは、APT攻撃から企業を保護するには不十分です。APT攻撃の動的かつ高度な性質に対応しておらず、APT攻撃に対抗するための技術的または運用上の対策も提供していないからです。セキュリティ標準の定義は、企業内の情報セキュリティに関する最低要件とベストプラクティスを規定し、情報セキュリティプログラムの一貫性、品質、コンプライアンスを確保するために重要です。しかし、セキュリティ標準の定義だけでは、APT攻撃から企業を保護するには不十分です。APT攻撃のカスタマイズ性や標的型の性質を考慮しておらず、APT攻撃に対処するための状況認識やコンテキスト認識も提供していないからです。ウイルス対策ソフトウェアを最新のシグネチャと定義で最新の状態に保つには、定期的なアップデートが重要です。既知のマルウェア、ウイルス、その他の悪意のあるコードに対する最新のシグネチャと定義を適用する必要があります。しかし、定期的なアップデートだけでは、APT攻撃から企業を保護するには不十分です。APT攻撃で頻繁に使用される未知のマルウェア、ウイルス、その他の悪意のあるコードを検出・防御することはできず、また、APT攻撃を特定するための行動分析やヒューリスティック分析も提供されないためです。参考資料
* CISM レビューマニュアル、第 16 版、ISACA、2022 年、211 ～ 212 ページ、215 ～ 216 ページ、233 ～ 234 ページ、237 ～ 238 ページ。
* CISM の質問、回答、説明データベース、ISACA、2022 年、QID 1021。
* 高度な持続的脅威と国家主体 1
* 書評: Advanced Persistent Threats 2
* 高度な持続的脅威（APT）防御 3
* 長期的な脅威に対抗するための高度な持続的セキュリティの確立 4
* APT対策（Advanced Persistent Threat）とATP（Advanced Threat Protection）の違いは何ですか？5

説明
情報セキュリティ戦略の第一の基盤は、組織のビジョンとミッションであるべきです。組織のビジョンとミッションはセキュリティ戦略の基盤となり、実施されるセキュリティポリシー、手順、そして実践の指針となるべきです。包括的なギャップ分析の結果、情報セキュリティポリシー、監査および規制要件はすべて、セキュリティ戦略の策定において考慮されるべきですが、これらが第一の基盤となるべきではありません。

ビジネス影響度分析 (BIA) の実施は、組織の災害復旧計画 (DRP) を作成する際の最初のステップです。これは、中断後に回復する必要がある重要なビジネス機能またはプロセスを特定して優先順位を付け、それらの目標復旧時間 (RTO) と目標復旧ポイント (RPO) を決定するのに役立つためです2。対応および復旧チームの特定は最初のステップではなく、DRP を実行するための役割と責任を割り当てる次のステップです。通信計画のレビューは最初のステップではなく、中断中および中断後に関係者に通知および更新するための通信チャネルとプロトコルを定義する次のステップです。対応および復旧戦略の作成は最初のステップではなく、重要なビジネス機能またはプロセスを回復するための適切なソリューションと手順を選択して実装する次のステップです。参考文献: 2 https://www.isaca.org/resources/isaca-journal/issues/2018/volume-3/business-impact-analysis-bia-and-disaster-recovery-planning-drp