組織の情報セキュリティポリシーを策定する上で最も重要な考慮事項は、経営陣がそのポリシーを支持することです。経営陣の支持は、情報セキュリティポリシーの円滑な導入と実施に不可欠です。なぜなら、それは組織のリーダーシップ層が情報セキュリティに真摯に取り組み、責任を負っていることを示すからです。経営陣の支持は、適切なリソースの配分、明確な役割と責任の確立、そして組織内におけるセキュリティ意識の高い文化の醸成にも役立ちます。経営陣の支持がなければ、情報セキュリティポリシーは組織の目標や目的に合致せず、効果的に伝達・周知されず、一貫して遵守・実施されない可能性があります。
セキュリティポリシーの閲覧を義務付ける職務記述書は、従業員がセキュリティに関する義務を認識していることを確認する手段の一つですが、情報セキュリティポリシーを策定する上で最も重要な要素ではありません。ポリシーは、従業員の役割と職務に関連性があり、適用可能なものでなければならず、定期的な研修や啓発プログラムによって強化されるべきです。
組織の環境、リスク、要件の変化を反映させるため、方針は定期的に更新されるべきですが、年1回の更新では十分または必要とは限りません。方針の更新頻度は、変化の性質と影響に応じて決定されるべきであり、明確に定義された方針見直しプロセスによって決定されるべきです。
情報セキュリティポリシーは、業界のベストプラクティス、標準、フレームワークに準拠している必要がありますが、これは情報セキュリティポリシーを策定する上で最も重要な考慮事項ではありません。ポリシーは、組織固有の状況、ニーズ、期待に合わせてカスタマイズされ、組織のビジョン、ミッション、価値観と整合している必要があります。参考文献 = ISACA、CISMレビューマニュアル、第16版、2020年、37～38ページ。
ISACA、CISMレビュー問題、解答および解説データベース、第12版、2020年、問題ID 1009。

説明／参考資料：
Explanation:
情報所有者は管理職にあり、同時に利用者でもある場合があるが、情報所有者の役割は情報分類レベルを決定する責任を負っている。予算の策定と承認、支援活動など、より上位レベルの事項については管理職が責任を負う。
情報管理者は、情報の保護やバックアップなど、日常的なセキュリティ業務を担当します。利用者は最も低いレベルのユーザーです。利用者はデータを使用しますが、データの分類は行いません。データの分類は所有者が行います。

説明／参考資料：
Explanation:
外部の脆弱性ソースを利用することが、これらの脆弱性を特定する最も費用対効果の高い方法となるでしょう。選択肢BとCは、特に定期的に実施する場合、はるかにコストが高くなります。ハニーポットでは、すべてのベンダーの脆弱性を特定できるわけではありません。さらに、DMZに配置されたハニーポットは、侵害されたハニーポットからのトラフィックから本番ネットワークが十分に保護されていない場合、セキュリティリスクを生み出す可能性があります。