説明
組織全体でセキュリティ意識向上トレーニングを実施することは、標的型メール攻撃によるセキュリティインシデントのリスクを軽減する最善の方法です。なぜなら、従業員がそのような攻撃を認識し、回避するための知識と能力を身につけることができるからです。フィッシング、スピアフィッシング、ビジネスメール詐欺などの標的型メール攻撃は、ソーシャルエンジニアリングの手法を用いて、受信者を騙し、悪意のあるリンクをクリックさせたり、悪意のある添付ファイルを開かせたり、機密情報を漏洩させたりします。セキュリティ意識向上トレーニングは、従業員のセキュリティ文化と行動レベルを高めるだけでなく、標的型メール攻撃から自身と組織を守るための実践的なヒントやベストプラクティスを提供することにも役立ちます。
したがって、組織全体で意識向上研修を実施することが正しい解決策である。
参考文献：
* https://almanac.upenn.edu/articles/one-step-ahead-dont-get-caught-by-targeted-email-attacks
* https://www.microsoft.com/en-us/security/business/security-101/what-is-business-email-compromise-bec
* https://www.csoonline.com/article/3334617/what-is-spear-phishing-examples-tactics-and-techniques.html

クラウドベースのソリューションに移行する組織にとって、インシデント対応における最善のアプローチは、既存のインシデント対応手順を見直し、クラウド環境に対応することです。これは、クラウド環境によって新たな課題やリスクが生じ、既存の手順では適切に対処できない可能性があるためです。例えば、クラウドプロバイダーは、組織とは異なる役割と責任、サービスレベル契約、通知およびエスカレーションプロセス、データ保護およびプライバシー要件、法的および規制上の義務を負っている場合があります。したがって、組織は、クラウドプロバイダーのポリシーと慣行、そして組織の事業目標とリスク許容度に合わせて、インシデント対応手順を見直し、更新する必要があります。また、組織は、インシデント対応チームのメンバーが、手順とクラウド環境の変更についてトレーニングを受け、認識していることを確認する必要があります。
他の選択肢は、クラウド環境特有の特性や影響を考慮していないため、最善のアプローチとは言えません。クラウドプロバイダーのインシデント対応手順を採用することは、組織のニーズや期待がクラウドプロバイダーと異なる可能性があるため、実現可能または望ましいとは限りません。インシデント対応の責任をクラウドプロバイダーに移管することは、組織がクラウド上のデータとサービスのセキュリティおよび可用性に関して一定の責任と義務を負う可能性があるため、不可能または推奨されない場合があります。既存のインシデント対応手順を継続して使用することは、クラウド環境で発生する可能性のあるシナリオや問題を網羅していない可能性があるため、効果的または効率的ではない可能性があります。参考文献 = CISMレビューマニュアル（デジタル版）1、第4章：情報セキュリティインシデント管理、191ページ～
192、195-196、199-200。
クラウドインシデント対応フレームワーク - クイックガイド2、3-4ページ、6-7ページ、9-10ページ。
CISM項目開発ガイド3、18ページ、質問1。

災害復旧計画 (DRP) では、復旧目標時点 (RPO) が必要です。これは、災害後にデータを復旧することが許容される最も早い時点を示すためです。RPO は、中断が発生した場合に許容されるデータ損失量を効果的に定量化します。これは、業務の中断が発生した場合に許容されるデータ損失に基づいて決定されます 1。DRP は、組織の通常の業務に影響を与える災害が発生した場合に、重要な IT システムとデータを復旧するための手順、リソース、およびアクションを定義する文書です 2。DRP には、各重要なシステムとデータの RPO、および RPO を達成するためのバックアップと復旧の方法、頻度、および場所を含める必要があります 3。
RPOは、情報セキュリティ計画、インシデント対応計画、または事業継続計画（BCP）には必須ではありません。これらの計画は目的と範囲が異なるためです。情報セキュリティ計画は、組織における情報セキュリティ管理の目的、方針、標準、およびガイドラインを定義する文書です4。インシデント対応計画は、情報資産の機密性、完全性、または可用性を損なう可能性のあるセキュリティインシデントを特定、分析、対応し、そこから学ぶための手順、役割、および責任を定義する文書です。BCPは、組織の通常の業務に影響を与える障害が発生した場合に、重要な業務機能とプロセスの継続性を確保するための手順、リソース、およびアクションを定義する文書です。これらの計画には、災害後に業務が再開されるか、リソースが再び使用可能になるまでの時間である復旧時間目標（RTO）などの他の指標が含まれる場合がありますが、RPOは必須ではありません。
参考文献 = 1: IS 災害復旧目標 - RunModule 2: 情報システム緊急時対応計画ガイダンス - ISACA 3: CISM 認定情報セキュリティ マネージャー - Question1411 4: CISM レビュー マニュアル、第 16 版、ISACA、2021 年、23 ページ。 : CISM レビュー マニュアル、第 16 版、ISACA、2021 年、223 ページ。
1: CISMレビューマニュアル、第16版、ISACA、2021年、199ページ。: RTOとRPOの違いとは？ - Advisera

説明／参考資料：
Explanation:
他社との合併や買収は、新たな脆弱性やリスクを引き継ぐことになるため、情報セキュリティ管理機能に大きな影響を与えます。新しいオフィスの開設、データセンターの移転、ネットワークの再配線などは情報セキュリティ上のリスクを伴う可能性がありますが、一般的には企業のセキュリティポリシーに準拠しており、セキュリティ対策も容易です。