情報セキュリティはプロジェクト管理に統合されるべきであり、そうすることでプロジェクトおよび成果物に関連するセキュリティリスクに効果的に対処できます。プロジェクトでは、新しいシステム、プロセス、サプライヤー、データフロー、テクノロジー、アプリケーション、設備、またはビジネス変更が導入されることがよくあります。セキュリティが実装後にのみ検討される場合、設計、アーキテクチャ、契約、コード、構成、または運用手順に既に脆弱性が組み込まれている可能性があります。ISO/IEC 27002 コントロール 5.8 では、情報セキュリティをプロジェクト管理活動に統合し、プロジェクトライフサイクル全体を通してリスクを特定して対処することが求められています。これには、セキュリティ要件、リスク評価、役割と責任、受け入れ基準、テスト、サプライヤー要件、プライバシーに関する考慮事項、変更管理、および安全な運用への移行が含まれます。
オプションAは一般的すぎ、管理の具体的な目的ではなくISO/IEC 27001の原則の適用に焦点を当てています。オプションBは狭すぎます。監査は保証をサポートすることはできますが、統合の主な理由ではありません。主な目的は、プロジェクトおよび成果物内のリスク管理です。したがって、オプションCが検証されました。参照/章: ISO/IEC 27002:2022、管理5.8 プロジェクト管理における情報セキュリティ、管理8.26 アプリケーションセキュリティ要件、管理8.29 開発および受入におけるセキュリティテスト。