セクション：情報セキュリティプログラム管理
説明
Explanation:
契約には、企業のセキュリティポリシーに基づいたセキュリティ要件を含めることが不可欠です。これにより、サービスプロバイダーが必要なセキュリティ対策を確実に実施できるようになります。監査は通常、一度限りの作業であり、継続的なセキュリティ保証を提供することはできません。秘密保持契約（NDA）は契約の一部であるべきですが、ウェブサイトのセキュリティにとって必須ではありません。侵入テストだけではウェブサイトの完全なセキュリティは確保できません。侵入テストではテストできない対策が多数存在するためです。

セクション：混合問題

説明
リスク対策計画に運営委員会の承認を求めることは、組織のリスク許容度がリスク対策プロセスの一部として考慮されることを確実にするための最良の方法です。なぜなら、運営委員会は、リスク許容度を定義して伝達し、それが事業目標と戦略に合致していることを確認する責任を負う上級管理職と主要な利害関係者で構成されているからです。運営委員会は、情報セキュリティマネージャーが提案するリスク対策計画をレビューして承認し、それらがリスク許容度とリスク許容レベルと一致していることを確認できます。運営委員会はまた、リスク対策計画の有効性を監視および評価し、情報セキュリティマネージャーにフィードバックとガイダンスを提供することもできます。主要リスク指標（KRI）の設定、定量的リスク評価方法の使用、上級管理職へのリスク対策に関する定期的な報告は、リスク管理プロセスをサポートする有用なツールや手法ではありますが、組織のリスク許容度がリスク対策プロセスの一部として考慮されることを確実にするための最良の方法ではありません。KRIは、リスクへの曝露レベルとリスクコントロールのパフォーマンスを測定する指標です。定量的リスク評価方法は、数値と確率を使用してリスクイベントの可能性と影響を推定する手法です。リスク対策に関する定期的な報告を上級管理職に行うことは、リスク対策プロセスの現状と結果を伝え、上級管理職からのフィードバックと支援を得るための方法です。しかし、これらの方法のいずれも、リスク対策計画が承認され、リスク許容度と整合していることを保証するものではありません。これは運営委員会の役割です。参考文献 = CISMレビューマニュアル2023、第2章、セクション
2.4.3、76ページ。CISMレビュー問題、解答、解説データベース - 12ヶ月購読、問題ID: 121。