クラウド ホスティング ベンダー評価プログラムは、組織のデータやアプリケーションをホストするクラウド サービス プロバイダー (CSP) のセキュリティ、コンプライアンス、パフォーマンスを評価するプロセスです。クラウド ホスティング ベンダー評価プログラムには通常、次のコンポーネントが含まれます123。
* エンティティのイメージ スナップショットの承認および管理プロセスの確認: このコンポーネントでは、CSP が組織のワークロードを実行する仮想マシンまたはコンテナーのイメージ スナップショットを作成、承認、保存、および削除する方法を確認します。イメージ スナップショットには、不正アクセスや変更から保護する必要がある機密データや構成設定が含まれている場合があります。
* セキュリティ サービスのドキュメントと監査証明レポートの要求: このコンポーネントには、CSP が組織のデータとアプリケーションを保護するために実装するセキュリティ制御とプラクティスを示す CSP のドキュメントとレポートの要求と確認が含まれます。これには、サービス レベル契約 (SLA)、セキュリティ ポリシーと手順、セキュリティ認定と標準、脆弱性スキャンとパッチ レポート、インシデント対応と災害復旧計画、SOC 2 や ISO 27001 などの独立した監査レポートが含まれる場合があります。
* パッチ適用の責任の定義を示すコンプライアンス証拠の要求: このコンポーネントには、クラウド インフラストラクチャで実行されるオペレーティング システム、アプリケーション、およびライブラリのパッチ適用を CSP がどのように処理するかを尋ね、検証することが含まれます。パッチ適用は、セキュリティ侵害を防ぎ、規制要件への準拠を確保するための重要なアクティビティです。組織は、クラウド環境のパッチ適用における CSP と組織の役割と責任、およびパッチ適用アクティビティの頻度と範囲を理解する必要があります。
クラウド ホスティング ベンダー評価プログラムに通常含まれないコンポーネントは、顧客が実行する侵入テストの実施です。侵入テストは、システムまたはネットワークへのサイバー攻撃をシミュレートして、脆弱性と弱点を特定し、悪用する方法です。侵入テストは CSP のセキュリティ体制を評価するための貴重なツールですが、次の理由により、クラウド ホスティング ベンダー評価プログラムには通常含まれません。
* 侵入テストは CSP の利用規約または利用規定に違反する可能性があり、これにより、顧客がクラウド インフラストラクチャ上で許可されていないアクティビティや破壊的なアクティビティを実行することが禁止または制限される可能性があります。顧客が CSP の同意や承知なしに侵入テストを実施した場合、法的または契約上の責任を問われる可能性があります。
* 侵入テストは、CSP の通常の運用を妨害したり、他の顧客に対するクラウド サービスの可用性やパフォーマンスに影響を与えたりする可能性があります。顧客が CSP のシステムやネットワークに意図しない損害や中断を引き起こしたり、CSP のリソースや注意をそらすような誤ったアラームや警告をトリガーしたりする可能性があります。
* 侵入テストでは、CSP のセキュリティの包括的または正確な評価が得られない場合があります。これは、顧客が CSP の内部システムまたはネットワークに対して制限された可視性またはアクセスを持っている場合や、侵入テスト活動を防止または制限するセキュリティ メカニズムまたは対策に遭遇する可能性があるためです。顧客は、他の顧客または CSP のデータまたはシステムにアクセスしたり、侵害したりした場合に、倫理的または法的問題に直面する可能性もあります。
したがって、質問に対する検証済みの回答は D. 顧客による侵入テストの実施です。
参考文献:
* クラウドベンダーを評価するための4つの重要なベストプラクティス
* 2024 年の IT ベンダー評価のためのトップ 11 のアンケート
* クラウドベンダー評価 | 正しい方法で実行
* [クラウドでの侵入テスト: 知っておくべきこと]
* [クラウド侵入テスト: 課題とベストプラクティス]

資産管理プログラム内で物理メディアをサニタイズすることは、データの漏洩、盗難、紛失を防ぐために不可欠です。この方法により、メディアを廃棄または再利用した後でも機密データが回復または悪用されることがなくなり、組織のセキュリティが保護されます。

資産管理の一環として物理メディアをサニタイズすることは、デバイスが再利用または廃棄される前にすべての情報を削除して機密データを保護し、潜在的なデータ漏洩を防ぐことに重点を置きます。

正解は、サードパーティのコントロールで特定されたギャップや弱点を、関連する利害関係者が確実に対処できるように推奨事項とともに報告する必要がある、コントロール評価の自然な流れを説明しています。

ベンダーが新しい第 4 パーティを導入すると、複雑さが増し、潜在的なリスクの露出が増大するため、この新しいエンティティのコンプライアンス姿勢とリスク プロファイルを重点的に評価し、組織の要件と標準に準拠していることを確認する必要があります。