従業員が情報セキュリティに対する責任を理解する上で最も効果的な方法は、情報セキュリティ意識向上トレーニングへの参加を義務付けることです。情報セキュリティ意識向上トレーニングは、従業員に対し、情報セキュリティの重要性、利点、原則、そして組織の情報資産とリソースを保護する上での役割と責任について教育し、意識を高めるためのプログラムです。また、情報セキュリティ意識向上トレーニングは、従業員が組織の情報セキュリティポリシー、手順、基準を遵守し、情報セキュリティインシデントや問題を防止、検出、報告するために必要な知識、スキル、ツールを提供します。さらに、情報セキュリティ意識向上トレーニングは、従業員の間で積極的かつ主体的な情報セキュリティ文化を醸成・維持し、情報セキュリティ業務を遂行する上での自信と能力を高めることにも役立ちます。
参照資料 = CISMレビューマニュアル第16版、第1章：情報セキュリティガバナンス、セクション：情報セキュリティ文化、281ページ。CISMレビューマニュアル第16版、第3章：情報セキュリティプログラムの開発と管理、セクション：情報セキュリティの意識向上、トレーニング、教育、197～1982ページ。

情報セキュリティマネージャーの主な責任は、組織の情報資産が適切に保護されていることを保証することです。このシナリオでは、承認済みのモバイルアクセスポリシーと業界のベストプラクティスとの間に矛盾が生じています。欠陥のあるポリシーに基づいてセキュリティ基準を策定すると、重大なセキュリティ脆弱性につながる可能性があります。
他の選択肢が最善策ではない理由：
* A. 基準を組織の方針に合わせる：これはベストプラクティスとの不一致を永続させ、組織をリスクにさらす可能性があります。
* B. 業界のベストプラクティスに基準を合わせる：これはセキュリティの観点からは理想的ですが、承認されたポリシーと直接矛盾するため、運用上およびコンプライアンス上の問題が発生する可能性があります。
* D. 基準を政策に合わせるための費用対効果分析を実施する: 費用対効果分析はある時点で役立つかもしれないが、最良の慣行に沿っていない政策という根本的な問題には対処しない。
CISMの主要原則が反映されています。
* 組織目標との整合性：セキュリティ基準とポリシーは、組織の事業目標を支援し、実現するものでなければなりません。
リスク管理：リスクの特定、評価、軽減は、情報セキュリティ管理の重要な要素です。
* ガバナンス：効果的なガバナンスは、情報セキュリティ活動が組織の戦略および目標と整合していることを保証します。
要約すると、情報セキュリティマネージャーは、承認済みのポリシーと業界のベストプラクティスとの相違点を経営陣に積極的に指摘する必要があります。目標は、組織の目標をサポートしつつ、セキュリティリスクに適切に対処できるようポリシーを改訂することです。ポリシーがベストプラクティスに合致すれば、それに応じてセキュリティ基準を策定できます。

セキュリティをビジネス目標に整合させるには、組織が何を達成しようとしているのかを理解する必要があります。その他の選択肢もすべて考慮すべき要素ですが、その重要性は二次的なものであり、組織の目標によって異なります。

情報セキュリティフレームワークとは、組織における情報セキュリティの範囲、目的、要件を定義する一連の原則、標準、ガイドライン、およびベストプラクティスです。情報セキュリティフレームワークは、情報セキュリティリスクの管理、ビジネス目標および戦略との整合性、関連法規制の遵守において、一貫性のある包括的なアプローチを提供するため、情報セキュリティポリシーの策定に非常に役立ちます。また、情報セキュリティフレームワークは、情報セキュリティのガバナンス、管理、運用に関わるすべてのステークホルダーの役割、責任、および説明責任を明確にする上でも役立ちます。
参照資料 = CISMマニュアル1、第3章：情報セキュリティプログラム開発（ISPD）、第3.1節：情報セキュリティフレームワーク2
1: https://store.isaca.org/s/store#/store/browse/cat/a2D4w00000Ac6NNEAZ/tiles 2: 1