リモート ワイプは、デバイスの紛失または盗難の場合に、管理者またはユーザーがデバイス上のすべてのデータと設定をリモートで消去できるセキュリティ機能です。これにより、機密情報への不正アクセスが防止され、データ侵害のリスクが軽減されます。リモート ワイプは、紛失または盗難された後にデバイスに会社のデータが残らないようにするため、通常、会社所有のデバイスに使用されます。また、リモート ワイプによりデバイスが工場出荷時の設定に復元され、泥棒や発見者が使用できなくなります。リモート ワイプは、モバイル デバイス管理 (MDM) ソリューション、クラウド サービス、デバイスのオペレーティング システムの組み込み機能の使用など、さまざまな方法で実行できます。参考文献:
※1：デバイスの紛失・盗難によるデータ侵害から企業を守るには
*2: BYOD vs 会社所有デバイス: セキュリティを維持する方法
※3：業務機器の紛失・盗難に遭いましたか？次に行うべきことは次のとおりです

ベンダー管理は、顧客への優れたサービスを保証するためにベンダーと調整するプロセスです12。これには、ベンダーの選択、契約交渉、コストの管理、ベンダー関連のリスクの軽減、サービスの確実な提供などの活動が含まれます12。ベンダー管理の主要な活動の 1 つは、サービス レベル アグリーメント (SLA) の管理です。これは、提供される商品またはサービスの品質、量、適時性に関する両当事者の期待と義務を定義する契約です3。SLA は、ベンダーのパフォーマンスを監視および測定し、問題を特定して解決し、合意された指標に基づいてペナルティや報奨金を強制するのに役立ちます3。他のオプションは、ベンダー管理の概念全体を反映しているのではなく、ベンダー管理の特定の側面またはツールを反映しているため、不正解です。サードパーティ Web サイトからの情報のスキャンと収集、外部監査レポートのレビューと分析、アンケートに対するベンダーの回答の受信と分析はすべて、ベンダーのデュー デリジェンス、リスク評価、またはしかし、それがベンダー管理の唯一の活動ではありませんし、最も重要な活動でもありません。参考文献:
* ベンダー管理とは何ですか? 定義、プロセス、ツール
※ベンダー管理とは何ですか？| 定義とプロセス | タウリア
* ベンダー管理の基本ガイド | Smartsheet の「サービス レベル アグリーメント」セクション

資産管理プログラムは、物理的資産、財務資産、人的資産、情報資産など、組織の資産の価値、パフォーマンス、ライフサイクルを最適化することを目的とした一連のポリシー、手順、実践です123。資産管理プログラムは通常、資産管理の次の側面に対するポリシー要件を定義します。
* このポリシーには、物理​​メディア (デバイス、サーバー、ディスク ドライブなど) の再利用に関する要件が記載されています。
この要件により、組織は、機密データを含む物理メディアを再利用、リサイクル、または廃棄する前に、消毒、消去、または破壊するための適切な手順に従うことが保証されます123。この要件は、データの漏洩、盗難、紛失を防止し、組織の評判とコンプライアンスを保護するのに役立ちます123。
* このポリシーでは、従業員および請負業者が、雇用、契約、合意の終了時にすべての会社データおよび資産を返却することが求められています。この要件により、組織は、雇用期間中に従業員および請負業者によって割り当て、貸与、またはアクセスされたすべてのデータおよび資産を確実に回復します。彼らの雇用、契約、合意123。この要件は、組織のデータと資産のセキュリティ、完全性、可用性を維持するのに役立ち、それらの不正または不適切な使用または開示を防止します123。
* このポリシーは、機器および/または物理メディアの在庫、識別、および廃棄に関する要件を定義します。この要件により、組織は正確かつ最新の情報を維持することが保証されます。
* 所有、リース、または使用するすべての機器および物理メディアの記録。それらに一意の識別子を割り当てます123。また、この要件は、組織が、不要になった、役に立たない、または機能しなくなった機器および物理メディアを廃棄するための適切な手順に従うことを保証します123。この要件は、組織の資産管理プロセスの効率、有効性、および説明責任を向上させるのに役立ち、組織のリソースの無駄、詐欺、または悪用のリスクを軽減します123。
ただし、オプション D は、訪問者 (他のテナントやメンテナンス担当者を含む) が施設にサインインおよびサインアウトし、常に付き添うことを要求するポリシー要件であり、通常、資産管理プログラムでは定義されていません。むしろ、この要件は、組織の施設、資産、従業員を不正アクセス、損傷、危害から保護することを目的とした一連のポリシー、手順、実践である物理セキュリティ プログラムで定義される可能性が高くなります。物理セキュリティ プログラムは通常、物理セキュリティの次の側面に関するポリシー要件を定義します。
* このポリシーでは、訪問者 (他のテナントやメンテナンス担当者を含む) に施設へのサインインとサインアウト、および常に付き添うことを義務付けています。この要件により、組織は施設への訪問者のアクセスを制御および監視することが保証されます。そして、その身元、目的、権限を検証します。
また、この要件により、組織は訪問者が制限されたエリア、機密エリア、機器、情報にアクセスすることを防ぎ、訪問中ずっと訪問者を付き添うことが保証されます。この要件は、組織の施設、資産、従業員のセキュリティ、安全性、コンプライアンスを強化し、潜在的な脅威、インシデント、侵害を防止するのに役立ちます。
* このポリシーは、施設およびその出入口の施錠、警報、監視に関する要件を定義します。この要件により、組織は施設の境界と内部を安全に確保し、不正または不審な活動や侵入を検出して対応することが保証されます。 。この要件は、組織が不正アクセスを抑止、防止、遅延させるために、ロック、警報器、カメラ、警備員、障壁などの適切かつ効果的な物理的セキュリティ対策を確実に使用することも保証します。この要件は、組織の施設、資産、従業員を盗難、破壊行為、妨害行為、または攻撃から保護するのに役立ちます。
* この方針は、施設とその占有者の緊急時への備えと対応に関する要件を指定します。この要件により、組織は、火災、洪水、地震、停電、銃乱射事件などの緊急事態に対処するための手順を計画し、実行することが保証されます。施設とその居住者に影響を与えます。この要件は、組織が消火器、応急処置セット、避難経路、緊急連絡先、訓練など、緊急時の準備と対応のための適切でアクセス可能な設備、リソース、および訓練を提供することも保証します。この要件は、組織の施設、資産、従業員の安全、健康、継続性を確保し、緊急事態の影響と損害を最小限に抑えるのに役立ちます。
したがって、選択肢 D が正解です。これは、通常、資産管理プログラムで定義されるポリシー要件を反映していない唯一の選択肢だからです。参考資料: 次のリソースは、検証済みの回答と説明をサポートしています。
※1：資産運用方針ガイド＋無料テンプレート | フィックス
*2: 資産管理ポリシー: ゼロから構築する方法 - Limble CMMS
※3：資産管理の方針、戦略、ガバナンス枠組みの策定方法：自治体における資産管理への一貫したアプローチを確立する
* : 物理セキュリティ ポリシー - SANS
* : 物理的セキュリティ ポリシー - IT ガバナンス

固有のリスクとは、管理や緩和策が存在しない場合に存在するリスクのレベルを指します。これは、リスク管理実践の有効性を考慮せずに、業務、取引、または活動において自然にリスクにさらされることを表します。サードパーティ リスク管理 (TPRM) のコンテキストでは、固有リスクは、管理やリスク処理が適用される前に、サードパーティとの関係に関連する損失や不利な結果の可能性を評価します。組織が制御が必要な場所を特定し、さまざまなリスクの潜在的な影響と可能性に基づいてリスク管理の取り組みに優先順位を付けるには、固有のリスクを理解することが重要です。この概念はリスク管理フレームワークの基礎であり、組織のリスク選好と許容度に合わせて、リスクを許容レベルまで低減するための管理の開発と実装をガイドするために使用されます。
参考文献:
* ISO 31000 (リスク管理 - ガイドライン) などのリスク管理規格は、固有のリスクを評価および管理するためのフレームワークを提供し、意思決定プロセスにおけるリスクのベースライン レベルを理解することの重要性を強調しています。
* ISACA による「サードパーティ リスク管理ガイド」は、サードパーティとの関係に内在するリスクを評価するためのベスト プラクティスを概説し、ベースラインのリスク エクスポージャを決定するためにサードパーティとの関与の性質と範囲を評価する必要性を強調しています。

資産管理は、組織の物理的資産とデジタル資産を特定、追跡、管理するプロセスです。資産管理プログラムは、資産の最適な使用、セキュリティ、廃棄を確保するのに役立つ一連のポリシー、手順、ツールです。Shared Assessments CTPRP Study Guide1 によると、資産管理プログラムには次のコンポーネントが含まれている必要があります。
* 資産目録: ハードウェア、ソフトウェア、データ、サービスなど、組織が所有、リース、または使用しているすべての資産の包括的かつ正確なリスト。追加のリスクや依存関係が生じる可能性があるため、資産インベントリには、データを処理する外部関係者、ネットワーク、またはシステムへの接続を含める必要があります12。
* 資産所有者: 資産のライフサイクル全体にわたって責任を負う組織所有者を含む、各資産に対する役割と責任の明確な割り当て。資産所有者は、組織のポリシーと基準に従って資産が適切に維持、更新、保護、廃棄されることを保証する必要があります13。
* 資産分類: 重要度またはデータの機密性に基づいて資産を分類する一貫した客観的な方法。資産の分類は、各資産の適切な保護、監視、テストのレベル、および資産の損失や侵害による潜在的な影響を決定するのに役立ちます1。
* 資産管理: 不正なアクセス、使用、変更、開示、または破壊から資産を保護するのに役立つ一連の対策とメカニズム。資産管理には、ロック、暗号化、パスワード、ポリシー、契約などの物理的、技術的、管理的、または契約上の手段が含まれる場合があります1。
資産管理プログラムのコンポーネントを表す可能性が最も低いステートメントは D です。資産目録は、生産ライン全体で製品とサービスを履行するために使用されるアイテムの流れまたは分布を追跡する必要があります。この声明は、資産管理機能ではなく、サプライチェーン管理機能について説明しています。サプライ チェーン マネジメントは、サプライヤーから顧客までの資材、情報、サービスの流れを計画、調整、制御するプロセスです。サプライ チェーン管理には、在庫管理、品質保証、ベンダー リスク管理などの資産管理のいくつかの側面が含まれる場合がありますが、それは資産管理と同じではありません。資産管理は、組織が生産または提供する資産ではなく、組織が所有または使用する資産に焦点を当てます。
参考文献:
※1：共通評価。（2020年）。認定サードパーティリスクプロフェッショナル (CTPRP) 学習ガイド。
※2：ISACA。（2019年）。COBIT 2019 フレームワーク: ガバナンスと管理目標。APO03 エンタープライズ アーキテクチャを管理します。
※3：ISO。（2018年）。ISO/IEC 27001:2018 情報技術 - セキュリティ技術 - 情報セキュリティ管理システム - 要件。第 8.1.2 条 資産管理の役割と責任。
* : NIST. （2013年）。NIST 特別出版物 800-53 リビジョン 4、連邦情報システムおよび組織のセキュリティとプライバシーの管理。RA-2 セキュリティ分類。
* : NIST. （2013年）。NIST 特別出版物 800-53 リビジョン 4、連邦情報システムおよび組織のセキュリティとプライバシーの管理。CM-8 情報システムコンポーネントのインベントリ。
※：アピックス。（2018年）。APICS辞書、第16版。サプライチェーンマネジメント。
*：ISACA。（2019年）。COBIT 2019 フレームワーク: ガバナンスと管理目標。APO13 セキュリティを管理します。