アウトソーシングは、企業がデータ処理などの特定の業務に関連する特定のリスクを、それらのリスク管理を専門とする外部プロバイダーに移管するリスク処理の一形態です。

正解は、サードパーティのコントロールが効果的であるだけでなく、組織の標準と要件に準拠し、適切であることを保証するという優先事項を概説しており、サードパーティとのパートナーシップにおけるリスク管理に不可欠です。

内部監査機能は第 3 の防衛線として指定されており、直接のビジネス活動とは別に、リスク管理とガバナンス フレームワークが有効であることを確認するための独立した公平なレビューを提供します。

内部告発コンプライアンス問題報告メカニズムは、組織内での倫理的行動と説明責任を保証するために重要ですが、サービス プロバイダーの従業員と請負業者のセキュリティとプライバシーの認識とは直接関係がありません。他のトピックは、フィッシング、ソーシャル エンジニアリング、不正アクセス、データ侵害などの外部および内部の脅威から組織の機密データとシステムを保護するサービス プロバイダーの能力を評価することに関連しています。したがって、サービス プロバイダーのセキュリティとプライバシーの認識プログラムを評価する場合、B は最も重要度の低いトピックです。参考資料:
* 共有評価 CTPRP 学習ガイド、43 ページ、セクション 4.2.3: セキュリティとプライバシーの認識プログラム
* サードパーティのセキュリティ: リスクを評価してエコシステムを保護するための 8 つのステップ、ステップ 4: ベンダーのセキュリティ意識とトレーニング プログラムを評価する
* サードパーティリスク管理とは、セクション: サードパーティリスク管理プログラムの実装方法、箇条書き: セキュリティとプライバシーの意識向上トレーニング

正解は、資産所有者がまず自分が管理する資産の状態を評価し、物理サーバーからクラウド ソリューションへの移行などの移行に適した状態であることを確認する必要があることを強調しています。