説明
明確な役割と責任を、特定のアプリケーション要件に基づいて管理者権限を付与されたユーザーに確実に伝える主な理由は、説明責任の強化です。管理者権限を持つユーザーは、ソフトウェアのインストール、構成の変更、機密データへのアクセス、他のユーザーへのアクセス権の付与など、アプリケーションまたはシステムのセキュリティ、可用性、および完全性に影響を与える可能性のある操作を実行できます。したがって、管理者権限を持つユーザーは、自身の役割と責任、および操作の結果を認識しておく必要があります。これらのユーザーに明確な役割と責任を伝えることで、期待値の設定、境界の定義、所有権の割り当て、監視と報告の有効化を通じて、説明責任を確立できます。説明責任は、権限の誤用や乱用を抑止し、ポリシーと標準への準拠を確保し、インシデント対応と調査を円滑化することにも役立ちます。
職務分掌の明確化は、役割と責任を明確に定義することの利点の一つですが、主な理由ではありません。職務分掌とは、異なる機能やタスクを異なるユーザーやグループに分離することで、利益相反、誤り、不正行為、または不正な活動を防止または検出することを目的とした管理手法です。例えば、発注書を作成できるユーザーは、それを承認する権限を持つべきではありません。職務分掌は、重要または機密性の高いプロセスを複数の担当者が完了することを義務付けることで、不正または不適切な行為のリスクを軽減するのに役立ちます。しかし、職務分掌だけでは説明責任は保証されません。ユーザーが共謀したり、管理を回避したりする可能性があるからです。
役割と責任を明確に定義することで、ユーザーの生産性向上という結果が期待できますが、それが主な理由ではありません。ユーザーの生産性とは、ユーザーがタスクを遂行し、目標を達成する際の効率性と有効性を指します。役割と責任を明確に伝えることで、ユーザーは自身のタスク、期待、パフォーマンス指標をより深く理解できるようになり、より速く、よりスマートに、より効率的に作業を進めることができるようになります。しかし、ユーザーの生産性は、管理者権限の付与に伴うセキュリティリスクとは直接関係がなく、ユーザーのスキル、モチベーション、ツール、リソースといった他の要因にも左右される可能性があります。
セキュリティインシデントの減少は、役割と責任を明確に定義することで得られる望ましい結果ではありますが、主な理由ではありません。セキュリティインシデントとは、情報資産またはシステムの機密性、完全性、または可用性を損なう事象または状況のことです。役割と責任を明確に定義することで、ユーザーは自身の行動がセキュリティに及ぼす影響や、直面する可能性のある脅威や脆弱性をより意識できるようになり、セキュリティインシデントの回避や防止に役立つ可能性があります。しかし、セキュリティインシデントの減少は、保証や責任の尺度となるものではありません。なぜなら、ユーザーは人的ミス、過失、悪意、または外部要因によって、セキュリティインシデントを引き起こしたり、経験したりする可能性があるからです。参考文献 = CISMレビューマニュアル第15版、144ページ 効果的なユーザーアクセスレビュー - ISACA1 CISM項目開発ガイド - ISACA2

情報セキュリティ管理者がこのような状況で最初にとるべき行動は、リスク評価を実施することです。リスク評価とは、オフィスでのカメラ使用を禁止するポリシー違反から生じる情報セキュリティリスクを特定、分析、評価するプロセスです。リスク評価は、スマートフォンやタブレット端末のカメラの不正使用や不適切な使用の可能性と影響を判断するのに役立ちます。例えば、機密情報や秘密情報の撮影、送信、開示、従業員、顧客、パートナーのプライバシーやセキュリティの侵害、あるいは法的または規制上の要件違反などが挙げられます。リスク評価はまた、適切なリスク対策オプションを特定し、優先順位付けするのにも役立ちます。例えば、カメラの使用を無効化、制限、監視するための技術的、管理的、物理的な制御の実施、ポリシーの遵守と周知徹底、あるいは現在のビジネスニーズと環境を反映させるためのポリシーの改訂などが挙げられます。さらに、リスク評価は、リスクレベルと状況を上級管理職や関係者に伝達・報告し、ポリシーとリスク管理プロセスの改善と最適化に関するフィードバックや推奨事項を提供するのにも役立ちます。
リスク評価を実施した後、情報セキュリティ管理者が取り得る行動としては、ポリシーの改訂、根本原因分析の実施、許容使用ポリシーの周知などが挙げられますが、これらは最初の行動ではありません。ポリシーの改訂とは、ビジネス目標や戦略に沿うようにポリシーを更新・修正し、ビジネス環境や脅威環境の変化や課題に対応し、リスク評価や利害関係者からのフィードバックや提案を取り入れるプロセスです。根本原因分析とは、ポリシー違反につながった根本的な原因や要因（認識不足、トレーニング不足、執行不足、ポリシーの矛盾や曖昧さ、ポリシーとビジネス要件や期待との間の矛盾やギャップなど）を調査し特定するプロセスです。利用規定の周知徹底とは、従業員およびスマートフォンやタブレット端末の他のユーザーに対し、規定の目的、範囲、内容、ユーザーの役割と責任、規定を遵守または違反した場合のメリットと結果、および規定に関する問題やインシデントを報告または解決するための方法と経路について情報提供と教育を行うプロセスです。参照：CISMレビューマニュアル第15版、51～531ページ、CISM練習クイズ、問題1482

証拠収集において最も重要な要件は、証拠の履歴、取り扱い、保管状況を記録することで証拠の完全性と真正性を保証する「証拠保全記録」です。証拠保全記録には、誰が、何を、いつ、どこで、なぜ、どのように証拠を収集、分析、保存したかが記録されます。
適切な保管管理の連鎖がなければ、証拠は法廷で異議を申し立てられたり、却下されたりする可能性があります。知る必要性、監査ログの保存、デューデリジェンスは証拠収集の重要な側面ですが、保管管理の連鎖ほど重要ではありません。参照 = CISM レビュー マニュアル、第 16 版、3031 ページ、CISM レビュー 問題、回答、説明マニュアル、第 10 版、1492 ページ証拠として認められる証拠を収集する際の最も重要な要件は、保管管理の連鎖です。保管管理の連鎖とは、証拠が収集された時点から法廷で提示されるまで、いつでも誰が証拠を管理していたかを文書化した記録です。これは、証拠が真正であり、改ざんやその他の干渉を受けないことを保証するために重要です。その他の重要な考慮事項には、知る必要性、監査ログの保存、デューデリジェンスなどがあります。

セクション：情報セキュリティガバナンス
Explanation:
最終レビュー日は、規格の最新性を確認するものであり、経営陣が規格をレビューし、規格の更新を必要とするような環境の変化がないことを確認したことを示しています。作成者名や作成日、草稿作成日はそれほど重要ではありません。