説明／参考資料：
Explanation:
セキュリティの観点から、組織の情報セキュリティ要件への準拠は、第三者サービスプロバイダーとの契約に含めるべき最も重要な事項の1つです。ISO 27001に準拠する組織における実施される管理策の範囲は、各組織が定めるセキュリティ要件によって異なります。このセキュリティ規格への準拠のみを要求するだけでは、サービスプロバイダーが組織のセキュリティ要件に準拠していることを保証するものではありません。特定の種類の管理手法の使用を義務付ける要件は、通常、第三者サービスプロバイダーとの契約には明記されていません。

説明／参考資料：
Explanation:
定期的なセキュリティ監査とプロバイダーの業務慣行のレビューを実施し、潜在的な情報セキュリティ被害を防止することで、アウトソーシングサービスのセキュリティを検証できます。アウトソーシングするサービスの種類によっては、セキュリティ意識の向上は不要な場合もあります。セキュリティ要件は契約書に含めるべきですが、最も重要なのは、プロバイダーがこれらの要件を満たしていることを確認することです。ポリシーの一部のみが関連し適用可能な場合は、プロバイダーにポリシーの完全な遵守を求める必要はありません。

セキュリティアーキテクチャは、セキュリティメカニズムの使用方法と相互関係を説明します。セキュリティメトリクスは、セキュリティ対策の改善度を測定するものですが、セキュリティ技術の使用方法や相互関係を説明するものではありません。プロセス改善モデルやネットワークトポロジー図も、これらの技術の使用方法や相互関係を説明するものではありません。

セクション：情報セキュリティプログラム管理
Explanation:
企業全体で暗号化を使用するための文書化された標準手順が存在するべきです。これらの手順は、暗号化を使用すべき状況を定義するものでなければなりません。暗号化アルゴリズムと鍵長の選択についても規定する必要がありますが、それらを厳密に定義する必要はありません。また、暗号鍵の取り扱いについても言及する必要があります。しかし、これは暗号化をどのように、いつ使用すべきかという点に比べれば二次的な問題です。暗号化ソリューションの使用についても検討する必要がありますが、これもまた二次的な考慮事項です。

セキュリティ管理者は、データの管理者として、データへのアクセス権限の執行に責任を負います。データ所有者は、これらのアクセス権限を承認する責任を負います。ビジネスプロセス所有者がデータ所有者でもある場合があり、その場合は執行の責任を負いません。セキュリティ運営委員会も執行の責任を負いません。