情報セキュリティガバナンスとコーポレートガバナンスの整合性を確保する最良の方法は、セキュリティ報告をコーポレートガバナンスに統合することです。これにより、取締役会と上級経営陣は、情報セキュリティプログラムのパフォーマンスと有効性、そして情報セキュリティの目標と戦略と事業目標およびリスク許容度との整合性を監督・監視できるようになります。セキュリティ報告は、意思決定と説明責任を支援するために、関連性が高く、タイムリーで、正確かつ実用的な情報を提供する必要があります。その他の選択肢は情報セキュリティガバナンスの重要な要素ですが、それだけではコーポレートガバナンスとの整合性を確保することはできません。参考資料：CISMレビューマニュアル第15版、411ページ；CISMレビュー問題、解答、解説データベース - 12ヶ月購読、質問ID：1027

NIST SP 800-61 コンピュータセキュリティインシデント対応ガイド1によると、サイバーセキュリティインシデントへの対応における最初のステップは、インシデント対応計画（IRP）を策定することです。IRPは、確認済みまたは疑わしいセキュリティ侵害への対応に関する役割、責任、手順を文書化したものです1。IRPは、組織がインシデントに備え、検知、分析、封じ込め、根絶、復旧、そしてそこから学ぶのに役立ちます1。IRPを策定することで、適切な人員とリソースを動員し、脅威に効果的に対処し、影響を最小限に抑えることができます。
参考文献 = 1: NIST SP 800-61: 1. はじめに1