組織の情報セキュリティ管理者は、外部サービスプロバイダにアウトソーシングされたITセキュリティ管理策の責任を負います。情報セキュリティ管理者は、サービスプロバイダが組織のセキュリティポリシーと基準を遵守し、セキュリティ目標と要件を満たしていることを保証する責任を負います。また、情報セキュリティ管理者は、サービスプロバイダのセキュリティパフォーマンスとコンプライアンスを監視および評価し、アウトソーシング契約から生じる可能性のあるセキュリティリスクとインシデントを管理する責任も負います。組織のリスク管理部門、サービスプロバイダのIT管理部門、およびサービスプロバイダの情報セキュリティ管理者は、アウトソーシングプロセスにおいてそれぞれ異なる役割と責任を負っているため、アウトソーシングされたITセキュリティ管理策の責任を負いません。参考文献：リスクおよび情報システム管理研究マニュアル、第7版、第5章、セクション
5.2.1.2、2461ページ
1: ISACA リスクおよび情報システム管理認定 (CRISC) 試験ガイド、質問への回答
651.