セクション：混合問題
説明／参考資料：

説明
組織のセキュリティ要件を満たさない新しいサードパーティ製クラウドアプリケーションに関連するリスクに対処するために、情報セキュリティマネージャーが最初にとるべき行動は、事業責任者と協議することです。これは、アプリケーションの使用に関する事業上のニーズと期待を理解し、セキュリティリスクと影響を伝える上で役立つからです。情報セキュリティマネージャーと事業責任者は協力して、アプリケーションのメリットとリスクのトレードオフを評価し、要件の変更、代替ソリューションの検討、リスクの受容など、最適な対応策を決定する必要があります。
参考文献
CISMレビューマニュアル、第16版、ISACA、2020年、p.41：「情報セキュリティマネージャーは、サードパーティサービスの使用に関するニーズと期待を理解し、セキュリティリスクと影響を伝えるために、ビジネスオーナーと協議する必要があります。」 CISMレビューマニュアル、第16版、ISACA、2020年、p.42：「情報セキュリティマネージャーとビジネスオーナーは協力して、サードパーティサービスの使用によるメリットとリスクのトレードオフを評価し、要件の変更、代替ソリューションの探索、リスクの受容など、最善の行動方針を決定する必要があります。」 クラウドにおけるリスク管理のベストプラクティス - ISACA：「情報セキュリティマネージャーは、ビジネスオーナーと協力して、データ保護、アクセス制御、インシデント対応、コンプライアンスなど、クラウドサービスのセキュリティ要件を定義する必要があります。」

情報セキュリティに対する経営陣の支持を得る上で最も重要な情報は、事業戦略との整合性を示すことです。なぜなら、情報セキュリティが組織の目標達成にどのように貢献し、組織の業績と競争力にどのような付加価値をもたらすかを明確に示すことができるからです。脅威の全体像を把握することは、情報セキュリティが脅威やリスクにどのように対処し、軽減するかを示すものではないため、あまり重要ではありません。競合他社への攻撃が成功したという報告も、情報セキュリティがそのような攻撃をどのように防止し、対応しているかを示すものではないため、あまり重要ではありません。組織のリスクを把握することも、情報セキュリティがリスクをどのように管理し、軽減するかを示すものではないため、あまり重要ではありません。参考資料：https://www.isaca.org/resources/isaca-journal/issues/2016/volume-4/technical-security-standards-for-information-systems https://www.isaca.org/resources/isaca-journal/issues/2017/volume-2/how-to-align-security-initiatives-with-business-goals-and-objectives

セクション：情報セキュリティプログラム管理