説明
SaaSソリューションの調達において情報セキュリティ上の懸念事項が確実に考慮されるようにするための最善の方法は、情報セキュリティリスク評価を調達プロセスに組み込むことです。これにより、組織はSaaSプロバイダーの利用に伴う潜在的なセキュリティリスクと影響を特定・評価し、組織のリスク許容度とリスク耐性に基づいて最適なソリューションを選択できるようになります。情報セキュリティリスク評価は、ベンダーの選定や契約締結前の調達プロセスの初期段階で実施し、契約期間を通じて定期的に更新する必要があります。
調達チーム（B）に定期的な情報セキュリティ研修を実施することは良い取り組みですが、SaaSソリューション特有のセキュリティ上の問題や課題に対処するには十分ではない可能性があります。調達チームには、情報セキュリティリスク評価を実施したり、ベンダーとセキュリティ要件について交渉したりする専門知識や権限がない場合もあります。
IT部門のメンバーを定期的な調達チーム会議に招き、ベストプラクティスに影響を与えてもらうことは良い方法ですが、IT部門のメンバーが実際の調達プロセスや意思決定に関与していない場合は、効果がない可能性があります。IT部門のメンバーは、情報セキュリティリスク評価を実施したり、調達契約においてセキュリティ上の懸念事項が適切に対処されていることを確認したりする機会や影響力を持たない場合があるからです。
SaaSベンダーとの調達契約において監査権を強制することは（D）重要な管理策ではありますが、調達プロセス中に情報セキュリティ上の懸念事項が確実に考慮されるようにするための最も効果的な方法ではありません。監査権は契約締結後の措置であり、組織がSaaSプロバイダーのセキュリティ管理とコンプライアンスを検証することを可能にするものですが、SaaSソリューションの使用によって生じる可能性のあるセキュリティリスクを防止または軽減するものではありません。監査権は、調達契約における情報セキュリティリスク評価やその他のセキュリティ要件によって補完されるべきです。
参考文献 = CISMレビューマニュアル（デジタル版）、第3章：情報セキュリティプログラムの開発と管理、セクション：情報セキュリティプログラム管理、サブセクション：調達とベンダー管理、141～1421ページ

説明
ビジネスケースは、直接的および間接的なメリット、必要な投資、期待されるリターンを示すため、上級管理職に提示するのに適しています。投資収益率 (ROD) は、特定のリスクを回避するために必要なコストのみを示し、プロセス改善や学習などの他の間接的なメリットは示しません。脆弱性評価はより技術的な性質のものであり、脆弱性を特定して評価するだけです。これも間接的なメリットに関する洞察を提供するものではありません。年間損失期待値 (ALE) は、シングルサインオン (SSO) を導入するメリットを、導入コストと比較して評価しません。

対応シナリオのテストは、インシデント対応担当者の有効性を高める上で最も重要な要素です。テストを実施することで、担当者はスキルを磨き、ギャップや弱点を特定し、インシデント対応計画の妥当性と実現可能性を評価し、連携とコミュニケーションを改善することができます。また、対応シナリオのテストは、インシデント対応担当者の自信と準備態勢を高めるだけでなく、担当者のパフォーマンスやポリシーおよび手順への準拠状況を測定するのにも役立ちます。対応シナリオのテストは、シナリオの範囲、目的、複雑さに応じて、机上演習、シミュレーション、訓練、または本格的な演習など、さまざまな方法で実施できます。
他のオプションは、対応シナリオのテストほど重要ではありませんが、インシデント対応担当者の有効性に貢献する可能性もあります。経営陣とのコミュニケーションは、インシデント対応担当者が業務を遂行するために必要なサポート、リソース、権限を確保し、インシデント対応の状況と結果を報告できるようにするために重要です。しかし、コミュニケーションだけではインシデント対応担当者の有効性を高めるには不十分です。インシデント対応担当者は、インシデントに対処するために必要な知識、スキル、経験も必要です。スタッフをIT部門と統合することで、インシデント対応担当者とITスタッフ間の連携と情報共有が促進される可能性があります。ITスタッフは、技術的な専門知識を持ち、インシデントに関連するシステムやデータにアクセスできる場合があります。しかし、統合だけではインシデント対応担当者の有効性を高めるには不十分です。インシデント対応担当者は、インシデントを管理するための適切な役割、責任、プロセスも必要です。インシデント対応計画を毎年見直すことは、計画が更新され、現在のリスク、脅威、ビジネス要件に合致していることを確認するとともに、過去のインシデントから得られた教訓やベストプラクティスを取り入れるために重要です。
しかし、計画をレビューするだけでは、インシデント対応者の有効性を高めるには不十分であり、現実的なシナリオや状況下で計画をテストし、検証する必要もある。参考文献
* CISMレビューマニュアル、第16版、ISACA、2022年、pp. 223-225、230-231。
* CISM 質問、回答、解説データベース、ISACA、2022 年、QID 1004。

潜在的な侵害が発見された場合、最初に行うべきことは侵害の妥当性を確認することです。CISMレビューマニュアルのドメイン4によると、情報セキュリティマネージャーは、不必要なエスカレーションやリソースの割り当てを避けるために、事象を確認する必要があります。この確認によって、インシデントが実際に発生したことが保証され、その後の対応措置が正当化されます。インシデント対応計画の発動や経営陣への報告は、侵害の妥当性が確認された後に行われます。
参照：ISACA CISMレビューマニュアル、第16版、280ページ、「インシデントの検出と検証」。