セクション：情報セキュリティプログラム管理
Explanation:
業務プロセスの責任者、情報セキュリティ管理者、およびセキュリティ運営委員会は構成管理計画に関して意見を提供する可能性があるが、最終的な承認はIT部門の上級管理職が主な責任を負っている。

セクション：情報セキュリティプログラム管理
Explanation:
緊急変更要求の大部分は、通常の変更管理手順を回避するために土壇場で導入される変更が原因である可能性があります。同様の要求、延期、およびキャンセルされた要求はすべて、変更管理プロセスが適切に機能していることを示しています。

説明
CISMレビューマニュアルによると、組織環境の変化によりセキュリティ対策が不十分になった場合、情報セキュリティマネージャーが取るべき最善の行動は、新たなリスクアセスメントを実施することです。リスクアセスメントとは、組織の情報資産および業務プロセスに影響を与えるリスクを特定、分析、評価するプロセスです。リスクアセスメントは、定期的に、または新たな脅威、脆弱性、技術、規制、事業目標など、組織環境に重大な変化があった場合には必ず実施する必要があります。リスクアセスメントは、現在のリスクエクスポージャーのレベルと既存のセキュリティ対策の適切性を判断するのに役立ちます。また、リスクアセスメントは、新たなセキュリティ対策の導入、リスクの第三者への移転、リスクの受容、リスクの回避など、適切なリスク対応策を定義するリスク対策計画を策定または更新するための基礎となります。
このシナリオでは、他の選択肢は最善策とは言えません。過去のリスク評価と対策を見直しても、組織の現状を反映していない可能性があり、新たなリスクや発生しつつあるリスクを特定できない可能性があります。新たなリスクを特定し、優先順位付けするための新たなリスク評価を実施せずに、新たなリスクを軽減するための対策を評価するのは時期尚早かもしれません。新たなリスクレベルと利用可能なリスク移転オプションを評価するための新たなリスク評価を実施せずに、新たなリスクを第三者に移転することは、実現不可能であったり、費用対効果が悪かったりする可能性があります。
参考文献 = CISMレビューマニュアル、第16版、第2章、第1節、43～45ページ。

説明
ビジネス影響分析（BIA）は、アプリケーションの復旧優先順位を算出するための最適なツールです。ただし、総所有コスト、年間損失期待値（ALE）、または組織に対する残存リスクを決定するために使用されるものではありません。