セクション: 情報セキュリティプログラム管理

CISMレビューマニュアル（デジタル版）の第3章、セクション3.2.1によると、戦略的整合性は情報セキュリティプログラムの主要な成果です1。戦略的整合性とは、情報セキュリティプログラムが組織の目標と事業戦略をサポートし、それらに合わせて調整されていることを意味します1。また、情報セキュリティプログラムが、物理的、人的資源、品質、ITなどの他の保証機能と整合していることも意味します1。
CISMレビューマニュアル（デジタル版）では、競争優位性の獲得、顧客からの信頼の向上、法的および規制リスクの軽減、そして組織のパフォーマンス向上には、戦略的整合性が不可欠であると述べられています1。戦略的整合性を実現するには、上級管理職、情報オーナー、情報セキュリティ管理者、情報セキュリティ運営委員会、そして外部パートナーを含むすべての関係者間の効果的なコミュニケーションとコラボレーションが不可欠です1。
CISM試験内容概要では、ドメイン3「情報セキュリティプログラムの開発と管理」（試験全体の33%）における戦略的連携のトピックも取り上げています。2 サブトピックには以下が含まれます。
3.2.1 情報セキュリティ戦略
3.2.2 情報セキュリティガバナンス
3.2.3 情報セキュリティリスク管理
3.2.4 情報セキュリティコンプライアンス
この回答がCISM試験の準備に役立つことを願っています。頑張ってください！

リスクベースのアプローチ（A）は、CISMにおける統制設計の基本です。統制はリスクに見合ったものでなければならず、事業目標と整合し、リスク選好度と整合していなければなりません。技術的統制（B）、事業影響評価（BIA）の結果（C）、または予防的統制（D）のみに焦点を当てると、有効性が制限されます。リスクベースのアプローチは、予防的統制、発見的統制、是正的統制をバランスよく活用することを保証します。
参考資料: ISACA CISM レビュー マニュアル (リスク管理 - 制御の選択)、CISM 試験内容概要 (ドメイン 1)。

説明
根絶は、インシデント対応におけるフェーズであり、インシデントチームが影響を受けたシステムから脅威を取り除き、安全な状態に復旧します。このフェーズが成功しない場合、マルウェアはシステムに残存または再出現し、さらなる損害や侵害を引き起こす可能性があります。したがって、根絶こそが正しい答えです。
参考文献:
* https://www.securitymetrics.com/blog/6-phases-incident-response-plan
* https://www.atlassian.com/incident-management/incident-response
* https://eccouncil.org/cybersecurity-exchange/incident-handling/what-is-incident-response-life-cycle/

説明
ギャップ分析とは、組織のセキュリティ体制の現状と、望ましい状態または求められる状態を比較し、対処が必要なギャップや矛盾点を特定するプロセスです。ギャップ分析は、関連する規制、標準、ベストプラクティスへの現在のコンプライアンスレベルを把握し、望ましいコンプライアンスレベルを達成するために必要なアクションとリソースの優先順位付けに役立ちます1。規制の対象となる新しいサービスをサポートするセキュリティ戦略を策定する際には、ギャップ分析を最初に実施する必要があります。ギャップ分析には、次のようなメリットがあるためです2。
これは、新しいサービスが組織のセキュリティ目標、リスク、および制御に及ぼす範囲と影響を理解するのに役立ちます。
これは、新しいサービスに適用される法律、規制、契約上の要件、および遵守しない場合の潜在的な罰則や結果を特定するのに役立ちます。
既存のセキュリティ制御の有効性と効率性を評価し、修正または強化が必要なギャップや弱点を特定するのに役立ちます。
これは、セキュリティ戦略を新しいサービスのビジネス目標や目的に合わせ、セキュリティ戦略が組織全体で一貫していることを保証するのに役立ちます。
これは、新しいサービスに関係する関係者にセキュリティ要件と期待を伝え、彼らのサポートとコミットメントを得るのに役立ちます。
新しいサービスのセキュリティ制御の決定、コンプライアンス プログラムの確立、サービスをサポートするための新しいリソースの雇用などのその他のオプションは、ギャップ分析の結果と推奨事項に依存するため、規制の対象となる新しいサービスをサポートするセキュリティ戦略を開発する際の最初のステップではありません。新しいサービスのセキュリティ制御を決定するには、新しいサービスに関連するセキュリティ要件とリスクを明確に理解する必要があります。これは、ギャップ分析から得ることができます。コンプライアンス プログラムを確立するには、ギャップ分析に基づいて、コンプライアンスを保証するセキュリティ制御とプロセスを実装、監視、改善するための体系的かつ構造化されたアプローチが必要です。サービスをサポートするための新しいリソースの雇用には、セキュリティの目標とコンプライアンスを達成するために必要な人的リソースと財務リソースの現実的で正当な見積もりが必要です。これは、ギャップ分析から導き出すことができます。参考資料 = 1: ギャップ分析とは? | Smartsheet 2: CISM レビューマニュアル第 15 版、121 ページ : CISM レビューマニュアル第 15 版、122 ページ : CISM レビューマニュアル第 15 版、123 ページ : CISM レビューマニュアル第 15 版、124 ページ : CISM レビューマニュアル第 15 版、125 ページ 詳細はこちら:
1. infosectrain.com2. resources.infosecinstitute.com3. resources.infosecinstitute.com4.
resources.infosecinstitute.com+その他2件