サーバーベースのマルウェア対策が実施されていないことは、情報セキュリティ管理者にとって最も懸念すべき問題です。なぜなら、Web ベースのアプリケーションとそのデータが、情報の機密性、完全性、可用性を損なう可能性のある悪意のあるソフトウェアによる潜在的な脅威にさらされるからです。サーバーベースのマルウェア対策は、アプリケーションが実行されるサーバー上のウイルス、ワーム、トロイの木馬、ランサムウェアなどの悪意のある活動を監視およびブロックするセキュリティ制御です。サーバーベースのマルウェア対策がない場合、Web ベースのアプリケーションは、サーバーに保存されているデータを損傷または破壊したり、アプリケーションの正常な機能を妨害したりする可能性のある攻撃に対して脆弱になる可能性があります。他の問題も重要ですが、サーバーベースのマルウェア対策ほど重要ではありません。アプリケーションが安全な通信プロトコルを使用していないため、転送中の機密データが不正な第三者による盗聴や傍受にさらされる可能性があります。アプリケーションに制限付きアクセス制御が設定されている場合、正当なユーザーのアクセス権限が承認されたリソースに制限される可能性がありますが、不正なユーザーが他の手段でそれらにアクセスすることを防止できません。ビジネスプロセスにはエラーチェックのレベルが1つしかないため、データの入力や処理に誤りや矛盾が生じる可能性がありますが、データの品質や正確性を保証するものではありません。参照：CISMレビューマニュアル第16版、1751ページ、CISMレビュー問題集、解答、解説マニュアル第10版、812ページ

セキュリティパフォーマンス指標とは、組織のセキュリティ目標達成における情報セキュリティプログラムの有効性と効率性を示す定量的または定性的な尺度です。セキュリティパフォーマンス指標をビジネス目標と照らし合わせて測定することは、組織が情報セキュリティガバナンスをコーポレートガバナンスに統合していることを示す最良の指標となります。なぜなら、セキュリティプログラムがビジネス戦略、価値提供、リスク管理と整合し、それらを支援していることを示すからです。（CISMレビューマニュアル第15版より）

セクション：インシデント管理と対応
Explanation:
ビジネス影響分析 (BIA) は、セキュリティ インシデントの影響や必要な対応時間などの結果を提供します。BIA は、セキュリティ インシデントが発生した場合に情報システム/ビジネス プロセスのどの部分を優先すべきかを決定するための最も重要なプロセスです。リスク評価は、事業継続計画を作成するための非常に重要なプロセスです。リスク評価は、セキュリティ インシデントの発生可能性に関する情報を提供し、対策の選択を支援しますが、優先順位付けには役立ちません。選択肢 B と同様に、脆弱性評価は、システムのセキュリティ上の弱点に関する情報を提供し、リスク分析プロセスをサポートします。ビジネス プロセス マッピングは、重要なビジネス プロセスに関する決定が下された後のアクションのマッピング ガイダンスを提供することで、計画の作成を容易にします。つまり、ビジネスの優先順位付けを IT の優先順位付けに変換します。ビジネス プロセス マッピングは、決定を下すのに役立ちませんが、決定を実行するのに役立ちます。