変更の分析は、IT担当者が変更管理プロセス外でファイアウォールルールを変更したという問題に対処するための第一歩です。なぜなら、変更の理由、影響、リスクを理解し、承認、拒否、または取り消しの判断を下すのに役立つからです。適切な分析とテストを行わずに変更を取り消すよう要求することは、さらなる混乱や損害を引き起こす可能性があるため、第一歩ではありません。変更管理プロセスを見直すことも、目の前の具体的な問題やインシデントに対処するものではなく、将来の変更に向けたプロセスの改善に焦点を当てているため、第一歩ではありません。
上級管理職に事案を報告することは、問題やインシデントを解決するどころか、十分な情報や勧告がないまま事態を悪化させるだけなので、最初のステップとしては適切ではありません。参考資料：https://www.isaca.org
/resources/isaca-journal/issues/2018/volume-3/change-management-in-the-age-of-digital-transformation
https://www.isaca.org/resources/isaca-journal/issues/

説明
定期的な監査を実施することで、情報セキュリティコンプライアンスのあらゆるギャップを特定できます。サービスレベル監視は、組織の運用環境における運用上の問題点のみを特定できます。侵入テストはセキュリティ脆弱性を特定できますが、情報コンプライアンスを保証することはできません。トレーニングは情報セキュリティポリシーに関するユーザーの意識を高めることができますが、監査よりも効果的ではありません。