説明
組織のプログラムを支援するセキュリティ戦略を定義することは、情報セキュリティガバナンス機能の主要な責任であり、セキュリティ活動の戦略的方向性を示し、目標が達成されることを保証することを含みます。ISACAによると、情報セキュリティガバナンスは、情報セキュリティをビジネス目標に合わせ、情報セキュリティリスクを管理し、情報リソースを責任を持って使用するためのガイダンスを提供するコーポレートガバナンスのサブセットです12。
参考文献 = CISMレビューマニュアル、第27版、第4章、セクション4.1.1、2131ページ；CISMオンラインレビューコース、モジュール4、レッスン1、トピック12

セクション：情報リスク管理

関連規格（B）に対する独立した評価は、セキュリティ管理と開発手法が定義された基準を満たしていることを客観的な第三者が検証するため、最も確実な保証を提供する。
例としては、安全な開発基準や認知された制御フレームワークに対する評価などが挙げられる。
研修（A）、資格認定（C）、ポリシーの見直し（D）は有用な情報源ではありますが、間接的なものであり、一貫性のある効果的な実施を保証するものではありません。CISMは、特にカスタムソフトウェア開発などの高リスク活動を外部委託する場合、第三者リスク管理における独立した保証を重視しています。
独立した評価は、自己証明への依存度を低減し、ガバナンス、SDLC（ソフトウェア開発ライフサイクル）の管理、およびセキュリティテストの実践を検証するのに役立ちます。
参考文献：ISACA CISMレビューマニュアル（第三者リスク管理、保証、およびプログラム監督）、CISM試験内容概要（ドメイン3）。

セクション：情報リスク管理
Explanation:
会社の規定が遵守できない場合は、リスクを明確にするためにリスク評価を実施する必要があります。その後、経営陣はリスクを受け入れるか、軽減するかを決定します。経営陣は、自らが許容できるリスクのレベルを決定します。現行の規定の見直しを推奨する際には、単一の要請のみを根拠にすべきではありません。

ビジネス影響分析（BIA）プロセスの一環としてインタビューを実施する最も重要な理由は、できるだけ多くの関係者から意見を得るためです。BIAは、組織の重要なビジネス機能、プロセス、およびリソースに対する、混乱事象の潜在的な影響を特定し分析するプロセスです。BIAは、組織の事業継続計画における復旧の優先順位、目標、および戦略を決定するのに役立ちます。インタビューは、BIAのためのデータと情報を収集する方法の1つであり、ビジネス機能、プロセス、およびリソースに関与している、または影響を受ける関係者との直接的かつ双方向的なコミュニケーションを伴います。インタビューを実施することで、情報セキュリティマネージャーは、事業主、管理者、ユーザー、顧客、サプライヤー、規制当局、パートナーなど、できるだけ多くの関係者から意見を得ることができます。これにより、BIAが組織のビジネス活動の全範囲と複雑さを網羅し、関係者の正確で最新かつ包括的な見解と期待を反映していることを確実にすることができます。インタビューは、調査、アンケート、文書、システムなど、他の情報源から得られたデータや情報を検証、明確化、補完するのに役立ちます。また、関係者間の信頼関係や協力関係を築き、情報セキュリティと事業継続計画に対する意識、関与、コミットメントを高めることにもつながります。
参考文献 = CISMレビューマニュアル、第16版、第3章：情報セキュリティプログラムの開発と管理、セクション：ビジネスインパクト分析（BIA）、178～1801ページ。CISMレビュー問題集、解答と解説マニュアル、第10版、問題65、602ページ。