イントラネットサーバーは内部ネットワーク上に配置する必要があります。外部ルーター上に配置すると、セキュリティ対策が不十分になります。ファイアウォールは、最小限のサービスのみを有効にした強化されたサーバーにインストールする必要があるため、イントラネットサーバーをファイアウォールと同じ物理デバイスに配置するのは不適切です。同様に、プライマリドメインコントローラーは通常、イントラネットサーバーと同じ物理デバイスを共有しません。

対策を実施した後、脆弱性評価を実施することは、以前に特定されたすべての脆弱性が対処されたことを確認する最良の方法です。CISMレビューマニュアルでは、脆弱性評価は既知の脆弱性を体系的にスキャンし、対策の効果を確認するものであると規定されています。侵入テストは有用ですが、通常は脆弱性を悪用するために使用され、脆弱性評価ほど効率的に対策の効果を包括的に検証するためには使用されません。
参照：ISACA CISMレビューマニュアル、第16版、164～165ページ、「脆弱性管理と評価」。

セクション：インシデント管理と対応

セクション：情報セキュリティプログラム管理
Explanation:
研究開発部門は通常、製薬会社の中で最も機密性の高い部門です。この部門からノートパソコンが盗まれると、機密性の高い処方やその他の知的財産が漏洩する可能性があり、これは重大なセキュリティ侵害となる可能性があります。製薬会社は通常、エンドユーザーと直接接触することはなく、取引も時間的な制約がないため、顧客情報の漏洩やオンライン取引の停止は、最も重大なセキュリティリスクではありません。セキュリティトークンの盗難も、使用にはPINコードが必要となるため、それほど重大な問題にはなりません。