セクション：情報セキュリティプログラム開発
Explanation:
エクストラネットサーバーは、非武装地帯（DMZ）である遮蔽されたサブネット上に配置する必要があります。ファイアウォールのインターネット側に配置すると、防御が不十分になります。外部ルーター上に配置した場合も同様ですが、これは現実的ではありません。ファイアウォールは、最小限のサービスのみが有効になっている堅牢なサーバーにインストールされるべきであるため、エクストラネットを同じ物理デバイス上に保存することは不適切です。

主要リスク指標（KRI）とは、潜在的なリスクへの曝露を早期に警告する指標です。KRIは、関連性があり、測定可能で、タイムリーで、実行可能である必要があります。組織がKRIを選択する上で最も重要な要素は情報の重要性であり、つまりKRIはリスクにさらされている情報資産の価値と機密性を反映する必要があります。たとえば、データ漏洩リスクのKRIは、機密性の高い顧客データを含むデータベースへの不正アクセス試行回数などが考えられます。情報の重要性は、リスクの優先順位付けと最も重要なリスクへの集中に役立ちます。参考文献：
https://www.isaca.org/credentialing/cism https://www.wiley.com/en-us
/CISM認定情報セキュリティマネージャー学習ガイド-p-9781119801948

情報セキュリティ管理者は、使用されていないと思われる大量の古いデータを特定した後、次に記録保持ポリシーを参照する必要があります。記録保持ポリシーとは、組織が法的、規制的、運用上、または履歴上の目的で保持する必要のあるデータの種類、形式、および保持期間を定義する文書です。記録保持ポリシーを参照することで、情報セキュリティ管理者は、古いデータを引き続き保存、アーカイブ、または廃棄する必要があるかどうか、また、それらを安全かつコンプライアンスに準拠した方法でどのように行うべきかを判断できます。

説明
情報セキュリティ ポリシーと標準を更新して公開した後、次のステップは変更内容を関係者に伝えることです。これにより、関係者は新しいまたは改訂された要件、期待、責任を認識し、必要に応じてフィードバックを提供したり懸念を提起したりすることができます。コミュニケーションはまた、ポリシーと標準の受け入れと採用を促進し、組織内のセキュリティ文化と意識を強化するのに役立ちます。（CISM レビュー マニュアル第 15 版より）参照: CISM レビュー マニュアル第 15 版、183 ページ、セクション 4.3.3.1。