対策の費用対効果分析では、安全対策の年間コストと予想される損失コストを比較します。これにより、特定の制御措置を正当化することができます。侵入テストは脆弱性の程度を示す可能性がありますが、それだけでは制御の費用対効果を確立することはできません。頻繁なリスク評価プログラムは、どのようなリスクが存在するかを確実に明らかにしますが、制御の最大コストを決定することはできません。年間損失期待値（ALE）はリスクの価値に貢献する指標ですが、それだけでは制御を正当化することはできません。

残存リスクエクスポージャー（A）は、組織を代表してリスクを受け入れるか拒否するかを決定する責任が経営幹部にあるため、最も重要な要素として強調すべきです。CISMのガイダンスでは、経営幹部は技術的な詳細よりも、コントロールを適用した後に残るリスクが何であるか、そしてそれがリスク許容度を超えているかどうかに重点を置くべきだと強調しています。脅威の詳細（B）、アーキテクチャ上のギャップ（C）、および業界の違反事例（D）は背景情報を提供できますが、組織が依然としてどの程度のリスクに直面しているかという重要なガバナンス上の問いに直接答えるものではありません。残存リスクを提示することで、追加のコントロールが正当化されるかどうかについて、情報に基づいた意思決定が可能になります。
参考文献：ISACA CISMレビューマニュアル（ガバナンス - リスク報告、経営意思決定）、CISM試験内容概要（ドメイン2）。

セキュリティ指標は、情報セキュリティプログラムの成熟度を判断する最良の方法です。なぜなら、セキュリティ指標は、セキュリティ制御とプロセスのパフォーマンスと有効性を定量的に示す指標だからです。
セキュリティ指標は、セキュリティの現状を評価し、ギャップや弱点を特定し、進捗状況や改善状況を測定し、セキュリティの価値と影響を関係者に伝えるのに役立ちます。したがって、セキュリティ指標が正解です。
参考文献：
* https://www.isaca.org/resources/isaca-journal/issues/2020/volume-6/key-performance-indicators-for-security-governance-part-1
* https://www.gartner.com/en/publications/protect-your-business-assets-with-roadmap-for-maturing-information-security

説明／参考資料：
Explanation:
セキュリティ手順は、ソフトウェアの変更に対応するために頻繁に変更する必要がある場合が多い。手順は手順書であるため、ソフトウェアの頻繁な変更に合わせて常に最新の状態に維持する必要がある。プラットフォームベースラインなどのセキュリティ標準は、手順ではなく動作上の制限を定義するものであり、頻繁に変更すべきではない。セキュリティガバナンスなど、組織の上位レベルの目標は、通常、セキュリティポリシーで規定される。