この回答は、ベンダーリスク管理プロセスの有効性を最もよく示している。なぜなら、組織がベンダーに対して明確かつ一貫したセキュリティ要件と期待事項を確立し、それを徹底していること、そしてベンダーがセキュリティのベストプラクティスへの準拠と取り組みを実証していることを示しているからである。
ISO 27001、NIST CSF、COBITなどの世界的に認められたセキュリティ標準は、ベンダーのセキュリティ体制とパフォーマンスを評価し、改善するための包括的かつ客観的な枠組みを提供する。
参考文献: CISMレビューマニュアル2023では、「情報セキュリティマネージャーは、サードパーティ製品およびサービスのセキュリティ要件と期待が定義され、伝達され、実施されることを保証する責任がある」とし、「情報セキュリティマネージャーは、サードパーティが適切なセキュリティ制御と慣行を実施し、適用される標準と規制に準拠していることを確認する必要がある」と述べています（p. 138）。CISMレビュー問題、回答、解説マニュアル2023では、この回答の根拠として次の説明も提供しています。「世界的に認められたセキュリティ標準の認証を受けたベンダーの割合の増加が正解です。これは、組織がベンダーに対して明確で一貫したセキュリティ要件と期待を確立し、実施しており、ベンダーがセキュリティのベストプラクティスへの準拠と取り組みを実証していることを示しているため、ベンダーリスク管理プロセスの有効性を最もよく示しているからです」（p. 63）。さらに、ISACAジャーナル2015の記事「ベンダーリスク管理の解明」では、「世界的に認められたセキュリティ標準は、ベンダーのセキュリティ体制とパフォーマンスを評価および改善するための共通言語とフレームワークを提供する」とし、「世界的に認められたセキュリティ標準へのベンダー認証は、セキュリティ侵害のリスクを軽減し、顧客や利害関係者の信頼を高め、ベンダーの評判と競争力を向上させるのに役立つ」と述べている（3ページ）。

リスクを適切に軽減するための予防的対策が実行不可能な場合、情報セキュリティ管理者にとって最も重要な行動は、影響を管理することです。これは、リスクの結果が生じる可能性や深刻度を低減するための措置を講じることを意味します。影響の管理には、組織へのリスクや損害を軽減できる、エンジニアリング、管理、または個人保護対策などの代替的な対策を用いることが含まれます。許容できないリスクレベルの特定、脆弱性の評価、潜在的な脅威の評価などのその他の選択肢は、リスク評価プロセスの一部ですが、予防的対策が実行不可能な場合のリスク軽減策ではありません。参考文献：
* https://bcmmetrics.com/risk-mitigation-evaluating-your-controls/
* https://www.osha.gov/safety-management/hazard-prevention
* https://www.cdc.gov/niosh/topics/hierarchy/default.html

問題点を評価し、必要に応じてロールバック手順を実施することが最善の策です。選択肢BとCでは問題の所在を特定できず、かえって問題を悪化させる可能性があります。選択肢Dは評価の一部です。

セクション：インシデント管理と対応