セクション：情報セキュリティガバナンス
Explanation:
経営陣が考慮する最も重要な要素は、事業目標との関連性である。
情報セキュリティ指標は、経営目標への影響という観点から検討されるべきである。セキュリティに関する知識は重要ではあるが、最初に考慮すべき要素ではない。情報セキュリティ指標に基づくベースライン設定は、プロセスの後半で検討される。

第三者プロバイダーが組織の情報セキュリティ要件を遵守していることを確認するには、サービスレベル契約（SLA）に監査権が含まれていることを確認することが最も重要です。SLAは、第三者プロバイダーが組織に提供するサービスの範囲、品質、および条件を定義する契約です。監査権とは、組織が契約期間中またはセキュリティインシデント発生後に、自ら、または独立した監査人によって、第三者プロバイダーのセキュリティポリシー、手順、管理、およびパフォーマンスを検査および検証する権限と機会を与える条項です。監査権は、第三者プロバイダーが組織の情報セキュリティ要件、ならびに法的および規制上の基準と義務を遵守していること、そして組織がアウトソーシング関係から生じるセキュリティリスクと問題を監視および測定できることを保証するのに役立ちます。監査権は、第三者プロバイダーによって共有、保存、または処理される情報資産およびシステムのセキュリティを損なう可能性のあるギャップ、弱点、またはエラーを特定して対処するのに役立ち、セキュリティ体制とパフォーマンスの改善および最適化のためのフィードバックと推奨事項を提供することもできます。
セキュリティ指標、契約条項、およびサードパーティプロバイダーの情報セキュリティポリシーは、サードパーティプロバイダーが組織の情報セキュリティ要件を遵守していることを保証する上で重要な要素ですが、最も重要な要素ではありません。セキュリティ指標は、サードパーティプロバイダーが実装し組織に報告するセキュリティ制御とプロセスの有効性と効率性を示す定量的および定性的な尺度であり、セキュリティインシデントの数、解決時間、顧客満足度、またはコンプライアンス率などが含まれます。セキュリティ指標は、サードパーティプロバイダーのセキュリティパフォーマンスと結果を評価および比較し、期待または合意されたレベルからの逸脱や不一致を特定して対処するのに役立ちます。契約条項は、サードパーティプロバイダーを組織の情報セキュリティ要件に拘束する法的および契約上の条件であり、情報資産およびシステムの機密性、完全性、可用性、当事者の役割と責任、違反または侵害に対する責任と罰則、または紛争解決メカニズムなどが含まれます。契約条項は、組織の情報セキュリティ上の利益と権利を執行および保護するとともに、アウトソーシング関係から生じる紛争や問題を防止または解決するのに役立ちます。サードパーティプロバイダーの情報セキュリティポリシーは、サードパーティプロバイダーのセキュリティビジョン、ミッション、目標、原則、およびサードパーティプロバイダーのスタッフ、顧客、パートナーに適用されるセキュリティの役割、責任、規則を定義し、伝達する文書です。サードパーティプロバイダーの情報セキュリティポリシーは、サードパーティプロバイダーが明確かつ一貫したセキュリティの方向性とガイダンスを持つことを保証するとともに、サードパーティプロバイダーのセキュリティ慣行と文化を組織のセキュリティに関する期待と要件に整合させ、統合するのに役立ちます。参照 = CISMレビューマニュアル第15版、57～581ページ、CISM練習クイズ、問題1662

説明
従業員がモバイルデバイスを介して無料のクラウドストレージサービスを使用して会社のデータを保存している場合、最も効果的な対策は、企業承認済みのクラウドサービスや仮想デスクトップ環境などの安全なソリューションを提供する必要性を評価することです。業務上のニーズを評価することで、従業員が無料のクラウドストレージサービスを利用している理由、保存しているデータの種類、セキュリティリスクと要件を把握できます。この評価に基づいて、セキュリティマネージャーは業務上のニーズを満たし、BYODポリシーに準拠した安全なソリューションを提案できます。現状維持、リモートアクセスの無効化、リモートワイプの開始などの他の選択肢は、根本的な業務上のニーズに対応できないか、業務の中断やデータ損失を引き起こす可能性があります。参考文献：
* https://www.digitalguardian.com/blog/byod-security-expert-tips-policy-mitigating-risks-preventing-breach
* https://news.microsoft.com/en-xm/2021/03/18/how-to-have-secure-remote-working-with-a-byod-policy/
* https://www.trendmicro.com/vinfo/us/security/news/cybercrime-and-digital-threats/-infosec-guide-bring-y

説明
労働安全法を鑑みると、組織の従業員の安全は最も重要な考慮事項であるべきです。あらゆるプロセスや管理慣行において、人間の安全は最優先事項であり、その他の選択肢はすべて二次的なものです。