この回答は、組織がベンダーに対して明確かつ一貫したセキュリティ要件と期待値を確立し、それを適用していること、そしてベンダーがセキュリティのベストプラクティスへのコンプライアンスとコミットメントを実証していることを示しているため、ベンダーリスク管理プロセスの有効性を最もよく示しています。ISO 27001、NIST CSF、COBITなどの世界的に認められたセキュリティ標準は、ベンダーのセキュリティ体制とパフォーマンスを評価および改善するための包括的かつ客観的なフレームワークを提供します。

セクション: 情報セキュリティプログラム管理
Explanation:
ソーシャルエンジニアリング攻撃は、標的となる可能性のある従業員に対し、定期的なセキュリティ意識向上トレーニングを実施することで最も効果的に軽減できます。パスワード変更頻度の変更、パスワードの強化、パスワードリセット回数の確認などは望ましい対策ですが、ソーシャルエンジニアリング攻撃の発生確率を低減する効果は限定的です。

説明
リスクは、組織が許容できるレベルまで低減されるべきです。リスクを測定できないほど小さなレベルまで低減することは非現実的であり、多くの場合、コストが法外に高くなります。リスクを特定の収益率に結び付けることは、リスクの質的な側面も考慮に入れないことにつながります。組織のリスク選好度に応じて、利益が費用を上回るまでリスク軽減を追求するかどうかは、組織が選択するか否かに左右されます。したがって、選択肢Cの方がより正確な答えです。