管理者アクセスの変更は、通常、従来の変更管理プロセスの対象にはなりません。これは、運用環境のインフラストラクチャやアプリケーションの変更ではなく、ユーザーアクセス管理に関連することが多いためです。管理者アクセスの変更には、システムへの管理者権限の付与、変更、または取り消しが含まれますが、これは変更管理ではなく、アクセス制御ポリシーと手順によって管理されます。変更管理プロセスは、主に運用環境の安定性、セキュリティ、および機能性に影響を与える可能性のあるネットワーク、システム、およびアプリケーションの変更を対象としています。
対照的に、管理アクセスの管理は、ID およびアクセス管理 (IAM) の一部であり、許可された個人のみが特定のレベルの情報およびシステム機能にアクセスできるようにすることに重点を置いています。
参考文献:
* NIST SP 800-53 (連邦情報システムおよび組織のセキュリティとプライバシー管理) に記載されているようなアクセス制御と ID 管理のベスト プラクティスでは、管理者のアクセス変更の管理を導く職務の分離と最小権限の原則が強調されています。
* ISC の CISSP Common Body of Knowledge の「アクセス制御システムと方法論」などのリソースは、不正アクセスを防止し、システムのセキュリティを維持するためにアクセスを効果的に管理するためのガイドラインを提供します。

脆弱性スキャンの文書化が不十分だと、セキュリティにギャップが生じ、検出されない脆弱性が対処されないままになり、サイバー攻撃やデータ侵害のリスクが増大する可能性があります。

重大性は、サービス プロバイダーの役割が組織の主要な業務にとってどれほど重要であるか、特にサービスの中断が組織の業務、評判、財務実績にどのような影響を与えるかに重点が置かれています。

事業運営からの独立性を維持することで、第 3 の防衛線が利益相反のない公平な評価を提供できるようになり、効果的なガバナンスに不可欠な要素となります。

データ損失防止（DLP）プログラムは、デフォルトのツール設定ではなく、組織固有のニーズとリスクに基づいて構築されます。DLPプログラムは、ビジネスに関連するデータの種類、場所、フロー、ユーザーに合わせてカスタマイズする必要があります。また、DLPプログラムは、組織の規制および契約上の義務、そしてデータリスク許容度にも合致する必要があります。デフォルトのツール設定ではこれらの要因に適切に対応できない場合があり、データの過剰なブロックまたは保護不足につながる可能性があります。したがって、DLPプログラムに関する記述Cは誤りです。参考文献：
* 1: 最高のデータ損失防止ソフトウェアツール - Comparitech
* 2: 5つのステップで成功するデータ損失防止プログラムを構築する - Gartner
* 3: データ損失防止（DLP）とは？ | Microsoft セキュリティ