説明
組織のプログラムを支援するセキュリティ戦略の策定は、情報セキュリティガバナンス機能の主要な責任です。これは、セキュリティ活動の戦略的方向性を示し、目標達成を確実にすることを伴うためです。ISACAによると、情報セキュリティガバナンスはコーポレートガバナンスのサブセットであり、情報セキュリティとビジネス目標の整合性、情報セキュリティリスクの管理、そして情報リソースの責任ある使用に関するガイダンスを提供します12。
参考文献 = CISMレビューマニュアル、第27版、第4章、セクション4.1.1、2131ページ; CISMオンラインレビューコース、モジュール4、レッスン1、トピック12

セクション: 情報セキュリティプログラム管理
Explanation:
組織のセキュリティ体制を常に維持することが重要です。開発または取得中の新規システムや、現在運用中の既存システムだけに焦点を絞るべきではありません。職務の分離は、システムのセキュリティを向上させるためのソリューションの一部に過ぎず、システム開発ライフサイクル（SDLC）にセキュリティを組み込む主な理由ではありません。

説明/参照:
Explanation:
データ所有者の特定は最初のステップであり、データ分類を実施する上で不可欠です。職務の定義は重要ではありません。リスク評価の実施は重要ですが、データ所有者（まず特定する必要があります）の参加が必要となります。データ保持ポリシーの策定は、データの分類後に行う場合があります。