TPRMプログラム指標は、TPRMプログラムのパフォーマンス、有効性、成熟度を測定する指標です。これらの指標は、TPRMプログラムの進捗状況、成果、課題を、事業部門、経営幹部、リスク委員会、取締役会など、様々なステークホルダーにモニタリングし、伝達するのに役立ちます。ただし、TPRMプログラム指標の報告レベルと変更頻度は、ステークホルダーの役割、責任、および関心によって異なります123。
* ビジネスユニット：このレベルのレポートは、ベンダー評価、改善措置、問題、インシデントのステータスなど、TPRMプログラムの運用面に焦点を当てています。このレベルのTPRMプログラム指標は、TPRMプログラムの日々の活動と成果を反映するため、頻繁かつ詳細に変化します。
* 経営管理：このレベルの報告は、TPRMプログラムの戦略的側面、例えばビジネス目標との整合性、規制要件への準拠、主要リスクの管理、リソースとコストの最適化などに焦点を当てています。このレベルでは、TPRMプログラムの指標の変更は頻度が低く、より集約的であり、TPRMプログラムの全体的な方向性とパフォーマンスを反映しています。
* リスク委員会：このレベルの報告は、リスクアペタイトの評価、リスクプロファイルのレビュー、リスクポリシーの承認、リスク問題のエスカレーションなど、TPRMプログラムの監督面に重点を置いています。このレベルでのTPRMプログラム指標の変更は、TPRMプログラムのガバナンスとアシュアランスを反映するため、随時かつより分析的な内容となります。
* 取締役会：このレベルの報告は、リスク戦略の承認、リスク動向の認識、リスク文化の指導、リスクイニシアチブの支援など、TPRMプログラムの助言的な側面に重点を置いています。このレベルでのTPRMプログラム指標の変更は、TPRMプログラムの高レベルかつ長期的なビジョンと価値を反映しているため、稀で例外的なものです。
したがって、正解はD. 取締役会です。これは、TPRMプログラム指標の変更が稀かつ例外的な報告レベルであるためです。参考資料：
* 1: TPRMプログラムの成功を測定するための15のKPIと指標 | UpGuard
* 2: サードパーティのリスク管理指標: リスク管理を強化するためのベストプラクティス | Diligent
* 3: TPRMメトリクス - リスクストーリーを伝える - 共有評価 | 共有評価

一般的なエンドユーザー デバイス ポリシーでは許容される使用方法が概説されており、会社のデバイスを個人的な業務に使用するとこれらの規定に違反することが多く、ポリシーの詳細に応じて懲戒処分が正当化されます。

定期的な緊急時訓練は、すべての居住者が避難手順を熟知し、緊急事態の際に迅速かつ安全に建物から脱出できるようにすることで、潜在的な危害や混乱を最小限に抑えることができるため、非常に重要です。

資産管理とは、組織の物理的資産とデジタル資産を特定、追跡、管理するプロセスです。資産管理プログラムとは、資産の最適な利用、セキュリティ確保、廃棄を確保するための一連のポリシー、手順、ツールです。Shared Assessments CTPRP Study Guide1によると、資産管理プログラムには以下の要素が含まれる必要があります。
* 資産インベントリ：ハードウェア、ソフトウェア、データ、サービスなど、組織が所有、リース、または使用しているすべての資産の包括的かつ正確なリスト。資産インベントリには、外部の関係者、ネットワーク、またはデータ処理システムへの接続を含める必要があります。これにより、追加のリスクや依存関係が生じる可能性があるためです12。
* 資産所有者：各資産の役割と責任を明確に割り当て、資産のライフサイクル全体にわたって責任を負う組織所有者を任命する。資産所有者は、組織のポリシーと標準に従って、資産が適切に維持、更新、保護、廃棄されることを確実にする必要がある13。
* 資産分類：資産の重要度またはデータの機密性に基づいて、一貫性と客観性をもって資産を分類する方法。資産分類は、各資産の適切な保護、監視、テストのレベル、および資産の紛失や侵害の潜在的な影響を判断するのに役立ちます1。
* 資産管理：資産を不正アクセス、使用、改ざん、開示、破壊から保護するための一連の対策とメカニズム。資産管理には、ロック、暗号化、パスワード、ポリシー、契約など、物理的、技術的、管理的、または契約上の手段が含まれる場合があります1。
資産管理プログラムの構成要素として最も適切でない記述は D です。資産インベントリは、生産ライン全体にわたって製品やサービスを実行するために使用されるアイテムの流れまたは配分を追跡する必要があります。この記述は、資産管理機能ではなく、サプライ チェーン管理機能について説明しています。サプライ チェーン管理は、サプライヤーから顧客への材料、情報、およびサービスの流れを計画、調整、および制御するプロセスです。サプライ チェーン管理には、在庫管理、品質保証、ベンダー リスク管理など、資産管理のいくつかの側面が含まれる場合がありますが、資産管理とは異なります。資産管理は、組織が所有または使用する資産に焦点を当てており、組織が製造または提供する資産には焦点を当てていません。
参考文献:
* 1: Shared Assessments (2020)。Certified Third Party Risk Professional (CTPRP) 学習ガイド。
* 2: ISACA (2019). COBIT 2019 フレームワーク: ガバナンスとマネジメント目標. APO03 エンタープライズアーキテクチャの管理.
* 3: ISO (2018). ISO/IEC 27001:2018 情報技術 - セキュリティ技術 - 情報セキュリティマネジメントシステム - 要求事項. 8.1.2項 資産管理の役割と責任.
* : NIST (2013). NIST特別出版物800-53改訂第4版 連邦情報システムおよび組織のためのセキュリティとプライバシー管理。RA-2 セキュリティ分類。
* : NIST (2013). NIST特別出版物800-53改訂第4版 連邦情報システムおよび組織のためのセキュリティとプライバシー管理。CM-8 情報システムコンポーネントインベントリ。
* : APICS. (2018). APICS辞書、第16版. サプライチェーンマネジメント.
* : ISACA (2019). COBIT 2019 フレームワーク：ガバナンスとマネジメント目標. APO13 セキュリティ管理.

リモートワイプは、デバイスの紛失や盗難の際に、管理者またはユーザーがリモートでデバイス上のすべてのデータと設定を消去できるセキュリティ機能です。これにより、機密情報への不正アクセスを防ぎ、データ漏洩のリスクを軽減できます。リモートワイプは、紛失または盗難されたデバイスに会社のデータが残らないようにするため、通常は企業所有のデバイスに使用されます。また、リモートワイプはデバイスを工場出荷時の設定に復元するため、盗難犯や拾得者がデバイスを使用できなくなります。リモートワイプは、モバイルデバイス管理（MDM）ソリューション、クラウドサービス、デバイスのオペレーティングシステムの組み込み機能など、さまざまな方法で実行できます。参考資料：
* 1: デバイスの紛失や盗難によるデータ漏洩から企業を守る方法
* 2: BYODと会社所有デバイス：セキュリティを維持する方法
* 3: ビジネスデバイスを紛失または盗難された場合の対処法