セキュリティ意識向上トレーニングは、従業員にポリシーの目的、内容、重要性、およびポリシーへの準拠方法を教育するため、情報セキュリティポリシーが理解されていることを保証する最も効果的な方法です。（CISMレビューマニュアル第15版より）参照：CISMレビューマニュアル第15版、183ページ、セクション4.3.3.1。

説明／参考資料：
Explanation:
経営陣による方針の策定は、方向性と意識向上につながる。より厳格な統制を導入すると、回避行動が生じる可能性がある。意識向上研修は重要だが、方針に基づいて実施されなければならない。業務を積極的に監視しても、あらゆるレベルの組織文化に影響を与えるとは限らない。

経営幹部の関与は、情報セキュリティリスクが現実的かつ具体的なビジネス上の影響と明確に結びついている場合に最も効果的に実現されます。競合他社での大規模な情報漏洩（B）は、経営幹部が容易に理解できる形で、潜在的な財務、業務、評判、および規制上の影響を示す、信頼性が高く業界に関連した事例となります。BIAの結果（A）、監査結果（C）、および費用対効果分析（D）は重要な情報ですが、抽象的であったり、内部に偏っていたりすることがよくあります。CISMのガイダンスでは、セキュリティに関するメッセージがビジネス主導で、外部で検証され、戦略的なリスク認識と結びついている場合に、経営幹部の支持が最も強固になることを強調しています。同業他社の情報漏洩は、脅威が現実的で差し迫っており、組織の状況にも当てはまることを強調し、セキュリティ戦略に対する緊急性と経営幹部の賛同を高めます。
参考文献：ISACA CISMレビューマニュアル（ガバナンス - 経営幹部とのコミュニケーション、ステークホルダーとの関わり）；CISM試験内容概要（ドメイン2）。

情報リスクに関して経営陣に伝えるべき最も適切な情報は、組織が直面するリスクの現状レベルと性質を反映したリスクプロファイルの変化です。リスクプロファイルの変化は、経営陣がリスクが事業目標に与える影響、リスク管理戦略の有効性、および必要な調整や改善策を理解するのに役立ちます。また、リスクプロファイルの変化は、経営陣がリソース配分の優先順位付けを行い、情報に基づいた意思決定を行う上でも役立ちます。
参照資料 = CISMレビューマニュアル、第16版eBook1、第2章：情報リスク管理、セクション：リスクコミュニケーション、サブセクション：リスク報告、97ページ。