コンピューティング施設の共有代替拠点を選択する際に考慮すべき最も重要な要素は、組織のリスク許容度です。これは、組織が許容できるリスクレベルと必要な復旧時間目標（RTO）を決定するからです。共有代替拠点とは、災害復旧のために複数の組織が利用する施設であり、リソース、可用性、セキュリティが限られている場合があります。したがって、組織はリスク許容度を評価し、共有代替拠点が復旧要件を満たし、情報資産を保護できることを確認する必要があります。
参照資料：CISMレビューマニュアル第27版、第4章、セクション4.3.2、2291ページ；CISMオンラインレビューコース、モジュール4、レッスン3、トピック22；BCMpedia、代替サイト3

ビジネス影響分析（BIA）を実施する主な理由は、重要なビジネスプロセス（B）の優先順位付けを行うことです。CISM（危機管理情報セキュリティ）において、BIAは事業継続性および回復力計画の基礎となる活動であり、組織の存続にとって最も重要で、障害発生後に最初に復旧しなければならないビジネス機能を特定することを目的としています。BIAは、障害発生による影響を時系列で評価し、経営陣が運用面、財務面、法務面、および評判面における影響に基づいてプロセスをランク付けすることを可能にします。
復旧目標時点（RPO）（C）の設定はBIAの重要な成果物ではありますが、重要なプロセスの特定と優先順位付けに比べると二次的なものです。リスク軽減策（A）の決定はリスク対策の一部であり、BIAの主要な目的ではありません。情報機密性（D）の決定はデータ分類に関連するものであり、これは別のガバナンス活動です。
CISMのガイダンスでは、事業影響度分析（BIA）は、復旧の優先順位、復旧目標時間（RTO）、および事業継続戦略を策定するための、ビジネス主導型の取り組みであると明確に位置づけられています。重要なプロセスを優先的に特定しなければ、復旧目標と事業継続計画をビジネスニーズに効果的に整合させることはできません。
参考文献：
ISACA CISMレビューマニュアル、情報セキュリティプログラムの開発と管理 - ビジネスインパクト分析（BIA）の目的と成果 ISACA CISM試験内容概要、ドメイン3：情報セキュリティプログラムの開発と管理

SaaSベンダーを利用する際のリスクを評価する最良の方法は、ベンダーの独立監査報告書の結果を精査することです。これは、ベンダーのセキュリティ管理体制と慣行を客観的かつ信頼性高く評価できるためです。SOC 2やISO 27001などの独立監査報告書は、第三者監査機関によって作成され、ベンダーが業界標準およびベストプラクティスに準拠していることを検証します。これらの報告書は、顧客がベンダーのセキュリティ体制におけるギャップや弱点を特定し、ベンダーに対する信頼度を判断するのに役立ちます。
契約書に情報セキュリティ要件が含まれていることを確認することは良い慣行ですが、ベンダーが実際にそれらの要件を満たしていることを十分に保証するものではありません。契約書には、情報漏洩やインシデントが発生した場合に顧客の権利や救済措置を制限するような制限事項や除外事項が含まれている場合もあります。
ベンダーに顧客からの推薦状を求めることは、SaaSベンダーの利用に伴うリスクを評価する上で信頼できる方法とは言えません。なぜなら、ベンダーは顧客の実際の経験や満足度を反映しない、肯定的な、あるいは偏った推薦状しか提供しない可能性があるからです。また、顧客からの推薦状は、評価を実施する顧客と同じセキュリティニーズや期待を持っているとは限りません。
ベンダーに情報セキュリティに関する質問票への記入を求めることは、ベンダーのセキュリティポリシーと手順に関する情報を収集する上で有効な方法ですが、ベンダーが実際にそれらのポリシーと手順を実施・維持しているという十分な証拠や検証を提供するものではありません。また、情報セキュリティに関する質問票はベンダーの自己申告と解釈に左右されるため、正確性や一貫性に欠ける場合があります。参考文献 = CISMレビューマニュアル第15版、144ページ SaaSセキュリティリスクと課題 - ISACA1 SaaSセキュリティチェックリストと評価質問票 | LeanIX2 Microsoft Cloud向けリスク評価ガイド3

従業員は、常にポリシーと行動規範について認識しておく必要があります。選択肢Aは、従業員の行動にほとんど影響を与えません。選択肢Bは、従業員とは関係ありません。選択肢Cは、セキュリティポリシーの継続的な強化の一側面となり得ます。