説明／参考資料：
Explanation:
リスク分析の結果は、リスク軽減に投入すべきリソース量を決定する上で、最も有用かつ包括的な情報源となります。監査報告書では、すべてのリスクを網羅しているとは限らず、年間損失発生頻度も考慮されていません。侵入テストの結果は、リスクのごく一部しか把握できず、IT予算は組織が直面するリスクとは直接関係ありません。

役割ベースのアクセス制御とは、組織内における個人の役割や職務に基づいて、コンピュータシステムやデータへのアクセスを制限するセキュリティ戦略です。これにより、個人は職務遂行に必要な情報やリソースのみにアクセスでき、それ以上のアクセスは許されません。このアプローチは、アクセス権限を個人の役割に必要な範囲に限定することで、機密データへの不正アクセスの可能性を最小限に抑えます。

説明
リスク評価手法の最初のステップは、評価範囲を定義するために、企業のすべての資産のシステム特性評価、つまり識別と評価を行うことです。インタビューは、組織の目標とリスク許容度に関する定性的な情報を得るための有効な手段です。インタビューは、後続のステップでも使用されます。脅威の特定はプロセスの後半で行われ、資産目録を作成する前に実施すべきではありません。なぜなら、リスクにさらされている資産がない場合、多くの潜在的な脅威は適用されないからです。発生可能性の判断は、リスク評価プロセスの後半で行われます。

情報セキュリティ対策によって直接的に支援される事業目標の数は、情報セキュリティ戦略が組織の目標や目的にどれだけ合致しているかを示す最良の指標です。この指標は、情報セキュリティ戦略が事業戦略とどれだけ整合しているか、そして情報セキュリティプログラムが組織にどれだけ効果的に価値を提供しているかを示します。情報セキュリティ対策によって支援される事業目標が多いほど、情報セキュリティ戦略は組織の目標や目的に合致していると言えます。
他のオプションは、情報セキュリティ戦略の整合性を示す最良の指標ではありません。なぜなら、情報セキュリティの取り組みがビジネス目標に与える影響や貢献を直接測定するものではないからです。定義されたSLA内で解決された情報セキュリティインシデントの割合は、インシデント管理プロセスの効率性と有効性を示す指標ですが、情報セキュリティ戦略がビジネス戦略とどの程度整合しているかを反映するものではありません。情報セキュリティの取り組みに割り当てられた企業予算の割合は、組織の情報セキュリティへの投資と取り組みを示す指標ですが、情報セキュリティの取り組みがビジネス目標とどの程度整合しているか、またはどのように優先順位付けされているかを示すものではありません。情報セキュリティ意識向上セッションに参加した経営幹部の数は、上級管理職の情報セキュリティに対する認識と関与を示す指標ですが、情報セキュリティ戦略がビジネス戦略とどの程度整合しているか、またはビジネス目標をどのようにサポートしているかを示すものではありません。参照 = CISM試験内容概要 | CISM認定 | ISACA、ドメイン 1、タスク 1.1 CISM マスター チート シート - SkillCertPro、第 1 章、2 ページ 認定情報セキュリティ マネージャー (CISM)、1 ページ 認定情報セキュリティ マネージャー試験準備ガイド: ... に準拠、1 ページ CISM: 認定情報セキュリティ マネージャー、1 ページ