セキュリティインシデント対応計画に変更を加える前に、情報セキュリティ管理者はまずギャップ分析を実施して、計画の現状を把握し、新たな要件と比較する必要があります。ギャップ分析とは、システム、プロセス、またはプログラムの現状と望ましい状態との差異を体系的に評価するプロセスです。ギャップ分析は、既存の計画の強みと弱み、対処すべきギャップ、アクションの優先順位と依存関係、および関連するリソースとコストを特定するのに役立ちます。また、ギャップ分析は、変更のビジネスケースを作成し、投資を正当化するのにも役立ちます。ギャップ分析は、フレームワーク、標準、ベンチマーク、アンケート、インタビュー、監査、テストなど、さまざまな方法とツールを使用して実施できます1234。
参考文献
* CISMレビューマニュアル第15版、1631ページ
* CISM認定情報セキュリティマネージャー学習ガイド、452ページ
* 情報セキュリティギャップ分析の実施方法3
* 予防的検出 - 優良事例ギャップ分析推奨事項4

復旧時間目標（RTO）とは、障害発生後に組織がオフラインまたは利用不能となることが許容される最大時間のことです。RTOは、インシデント対応計画、事業継続計画（BCP）、災害復旧計画（DRP）間の連携を維持するために重要です。なぜなら、RTOは各計画の復旧目標と戦略を整合させるのに役立つからです。明確かつ現実的なRTOを設定することで、組織は災害発生後、ITインフラストラクチャとシステムを可能な限り迅速に復旧させ、事業運営と顧客満足度への影響を最小限に抑えることができます。
参考文献 = CISMマニュアル、第6章：インシデント対応計画、セクション6.2：復旧時間目標（RTO）、971ページ
1: https://store.isaca.org/s/store#/store/browse/cat/a2D4w00000Ac6NNEAZ/tiles

説明
リスク管理の目的は、影響を許容可能なレベルまで低減することです。「許容可能」または「妥当」とは相対的な用語であり、環境や状況によって変化する可能性があります。規制要件に適合する最低限のレベルが事業目標と一致するとは限らず、規制当局は通常、リスクレベルを指定しません。可能な最低限のレベルが事業要件と合致しない場合もあります。

個人データを国境を越えて移転する前に、組織はまず、データ主体のデータ保護とプライバシーに適用される現地または地域の規制を評価する必要があります。これにより、組織はデータ移転に伴う法的要件とリスクを特定し、コンプライアンスと保護を確保するための適切なツールと保護策を選択することができます。たとえば、組織は、データ主体から同意を得たり、十分性決定、標準契約条項、または第三国で適切なレベルの保護を確保するためのその他のメカニズムを使用したり、特定の状況に対する特定の例外に依拠したりする必要がある場合があります。その他のオプションは、最初にとるべきステップではありませんが、データ移転プロセスの後の段階で関連する可能性があります。参照 = GDPRにおける個人データの国境を越えた移転に関するガイド EDPBが発行した個人データの国際移転に関する新しいガイダンス 個人情報を国境を越えて移転するための要件