組織の目標が伝達され理解されていることが、情報セキュリティガバナンスプログラムを効果的に実施するための最も重要な要素です。なぜなら、これによりプログラムがビジネス目標と整合し、関係者から支持されることが保証されるからです。従業員がカスタマイズされた情報セキュリティ研修を受けることは、最も重要な要素ではなく、プログラムの目標を達成し、スタッフの意識を高めるための手段です。プログラム予算が上級管理職によって承認され監視されていることは、最も重要な要素ではなく、プログラム活動を可能にし、そのパフォーマンスを測定するためのリソースです。情報セキュリティの役割と責任が文書化されていることは、最も重要な要素ではなく、プログラムのタスクと責任を定義し割り当てる方法です。参考資料：https://www.isaca.org/resources/isaca-journal/issues/2015/volume-1/how-to-measure-the-effectiveness-of-information-security-governance https://www.isaca.org/resources/isaca-journal/issues/2016/volume-2/how-to-align-security-initiatives-with-business-goals-and-objectives

最小権限の原則を実装するには、まず職務を特定する必要があります。職務とは、組織内で個人が役割の一環として遂行する具体的なタスクと責任のことです。職務を特定することで、組織は各個人が割り当てられた機能を実行するために必要な最小限のアクセス権限のみを決定できます。これにより、情報やリソースへの不正アクセス、悪用、または侵害のリスクを軽減できます。最小権限の原則は、すべてのモジュール（ユーザー、プロセス、プログラムなど）が、正当な目的のために必要な情報とリソースのみにアクセスできるようにする必要があるという重要なセキュリティ原則です12。
その他の選択肢は、最小権限の原則を実装するために特定する必要のある主要な要素ではありません。データ所有者は、データの分類、使用、および保護を定義する権限と責任を持つ個人または組織です。データ所有者は、データへのアクセス権限の付与または取り消しに関与する場合がありますが、データ利用者の職務を特定する者ではありません。主要なリスク要因は、組織に対する潜在的な損害または損失の原因または発生源です。主要なリスク要因は、ユーザーに付与されるアクセス権限のレベルに影響を与える可能性がありますが、ユーザーの職務を定義するものではありません。認証制御は、リソースへのアクセスを許可する前にユーザーまたはシステムのIDを確認するメカニズムです。認証制御は最小権限の原則を強制する可能性がありますが、ユーザーの職務を決定するものではありません。参照 = 最小権限の原則とは何か、そしてなぜ重要なのか？ - F5 1
4