セクション：情報セキュリティプログラム管理

説明／参考資料：
Explanation:
リスク管理における最善の戦略は、リスクを許容可能なレベルまで低減することである。これは、組織のリスク許容度と、すべてのリスクを排除することが現実的ではないという事実を考慮に入れたものである。
リスクと組織目標のバランスを取ることは、必ずしも容易ではありません。方針策定においては、事業目標だけでなく組織リスクも考慮する必要があります。経営陣が軽減する意思のないリスクを理解し、受け入れるようにすることは賢明かもしれませんが、それはあくまで慣行であり、戦略とみなすには十分ではありません。

ビジネス影響分析（BIA）は、障害発生後に業務機能やプロセスを復旧するための許容可能な最大時間枠である復旧時間目標（RTO）を算出するプロセスです。事業継続計画（BCP）は、障害発生時に重要な業務機能やプロセスの継続性を確保するための戦略と手順を記述した文書です。災害復旧計画（DRP）は、障害発生時にITシステムとデータを復旧するための技術的な手順とリソースを記述した文書です。サービスレベル契約（SLA）は、可用性、パフォーマンス、セキュリティなど、サービスプロバイダーとサービス利用者間の期待と義務を定義する文書です。参照：https://www.isaca.org/resources/isaca-journal/issues/2018/volume-1/business-impact-analysis-bia-and-disaster-recovery-planning-drp https://www.isaca.org/resources/isaca-journal/issues/2017/volume-6/service-level-agreements-in-the-cloud

説明
設計段階では、セキュリティチェックポイントが定義され、テスト計画が策定されます。テスト段階は、システムが既に開発され、本番環境でのテストに入っているため、手遅れです。開始段階では、プロジェクトの基本的なセキュリティ目標が認識されます。開発はコーディング段階であり、テスト計画を検討するには手遅れです。