すべてのセキュリティプロジェクトを承認するための運営委員会を設置すべきである。データセンター管理者がすべてのセキュリティプロジェクトの最終承認権を持っているという事実は、運営委員会が活用されておらず、情報セキュリティが組織内で下位の地位に追いやられていることを示している。
これは情報セキュリティガバナンスの失敗を示唆するものです。監督委員会または運営委員会が四半期ごとに会合を開くことは不適切ではありません。同様に、組織の規模と更新頻度を考慮すると、最高情報責任者（CIO）がセキュリティポリシーを承認することが望ましい場合もあります。優秀で資格のある情報セキュリティ専門家が不足しているため、欠員補充が困難になることは珍しくありません。

セクション：インシデント管理と対応

情報セキュリティプログラムの成功は、予算、人員、技術、トレーニングといった適切なセキュリティリソースの確保と配分に大きく左右されます。十分なリソースがなければ、プログラムは目的を達成できず、セキュリティ戦略を遵守できず、セキュリティリスクに対処できない可能性があります。主要業績評価指標（KPI）、バランススコアカード、グローバルセキュリティ標準も情報セキュリティプログラムの重要な要素ですが、リソース配分ほど重要ではありません。
参考文献 = CISMレビューマニュアル、第16版、69ページ

セクション：情報セキュリティプログラム開発
説明／参考資料：

リスクシナリオとリスク対策オプションに関連する定量的な損失を伝えることは、リスクの発生確率と影響を軽減するという点で、リスク対策オプションの価値と有効性を実証する上で、経営陣の支持を得る上で最も役立ちます。また、定量的な損失は、リスク対策オプションのコストと便益を比較し、最も重要なリスクに優先順位を付ける上でも役立ちます。
業界ベンチマーク、脅威分析、根本原因分析は、リスクを理解し評価する上で役立つ可能性があるが、リスク対策の有効性を直接測定するものではない。
参考文献 = 情報セキュリティリスク対策計画策定時の5つの重要な考慮事項、CISMドメイン2：情報リスク管理（IRM）[2022年更新]