管理策5.35「情報セキュリティの独立レビュー」は、組織の情報セキュリティ管理手法が適切かつ十分で効果的であり続けることを保証するための管理策です。
独立レビューは、方針、プロセス、統制、責任、および実施が、事業ニーズ、リスク、法的要件、および組織のセキュリティ目標と整合しているかどうかを客観的に評価します。レビューでは、ガバナンス、統制設計、統制運用、リスク処理、コンプライアンス、インシデント傾向、技術変化、サプライヤー依存、および監査結果が検討される場合があります。統制5.4「管理者の責任」は、管理者が従業員が方針と手順に従ってセキュリティを適用することを保証する必要があるため重要ですが、独立レビューに特化して焦点を当てた統制ではありません。
コントロール 5.24 は、インシデント管理の計画と準備に関するもので、対応能力をサポートするものですが、セキュリティ アプローチ全体の継続的な適合性を広く評価するものではありません。「適切、十分かつ効果的」という表現は、レビューと保証の強力な指標です。ISO/IEC 27002 では、独立したレビューを使用して、前提を検証し、弱点を検出し、継続的な改善をサポートします。したがって、オプション B が検証済みの回答です。参照/章: ISO/IEC 27002:2022、コントロール 5.35 情報セキュリティの独立したレビュー、コントロール 5.36 情報セキュリティに関するポリシー、ルール、および標準の遵守、コントロール 5.4 管理者の責任。