新たな事業構想は最も重要な検討事項であり、資産を効果的に保護し成長を支援するためには、セキュリティ対策を事業の変化に合わせて調整する必要がある。
「セキュリティ戦略は、重要な資産を保護し、企業目標を継続的に支援するために、新たな事業構想と整合していなければならない。」
- CISM レビュー マニュアル第 15 版、第 1 章: 情報セキュリティ ガバナンス、セクション: ビジネスとの整合性* ISACA の練習問題では、新しいビジネス イニシアチブとの整合性が関連性と有効性を確保することを強調しています。

ビジネス影響分析（BIA）（B）は、ビジネスへの影響に基づいて重要度、許容可能な最大ダウンタイム、目標復旧時間（RTO）、目標復旧時点（RPO）を特定するため、アプリケーションの回復力要件を最も適切に判断できます。回復力とは、基本的に組織が重要なビジネス機能を継続または迅速に復旧できる能力のことです。リスク評価（A）と脅威評価（D）は、リスクと脅威の発生源を特定しますが、許容可能なダウンタイムや復旧の優先順位は定義しません。費用対効果分析（C）は投資判断の評価に役立ちますが、ビジネスへの影響を理解することに比べると二次的なものです。
CISMは、事業継続性、回復力、および復旧計画の決定の基盤としてBIAを​​明確に位置づけ、セキュリティと可用性の管理がビジネスの優先事項と整合するようにします。
参考文献：ISACA CISMレビューマニュアル（リスク管理 - BIA、レジリエンス、事業継続計画）、CISM試験内容概要（ドメイン1）。

セクション：情報セキュリティガバナンス
Explanation:
最高執行責任者（COO）は組織内で高い地位にあり、事業運営と目標について最も深い知識を持っています。内部監査責任者と法務責任者は、このような運営グループのメンバーとして適切です。しかし、運営委員会の設立を主導するのは、事業の戦略と方向性に精通した人物であるべきです。セキュリティマネージャーはこのグループに方向性を求めているため、このグループの設立を監督するのに最適な立場ではありません。