質問に答える前に、このシナリオをお読みください。
あなたは、従業員400名の中規模企業において、チーフエンタープライズアーキテクト直属のシニアアーキテクトとして勤務します。この企業は、社内システムに保存されているデータと情報が主要な資産であり、極めて機密性の高い事業です。
同社の従業員は業務で頻繁に出張するため、メッセージの暗号化、VPN、その他の標準的なセキュリティ対策を用いて公共インフラを介して通信する必要があります。同社は全従業員を対象としたサイバーセキュリティ意識向上トレーニングに投資してきました。しかし、十分な教育とシステムセキュリティ対策を講じたとしても、インフラやソフトウェアを第三者サプライヤーに依存しているという点は認識されています。
同社は、エンタープライズアーキテクチャ(EA)の実践における方法論および指針となるフレームワークとして、TOGAF標準を採用している。CTOがこの活動のスポンサーを務めている。
最高セキュリティ責任者(CSO)は、同様の企業を標的としたランサムウェア(身代金要求に使用される悪意のあるソフトウェア)攻撃の増加を指摘している。CSOは、教育やサポートにどれだけ費用をかけても、企業が情報資産を完全に失うような重大な攻撃を受けるのは時間の問題である可能性が高いと認識している。
リスク評価を実施した結果、同社はランサムウェア対策を含むサイバー保険への加入を検討しました。しかし、その保険料は非常に高額でした。CTOは最近、身代金を支払った組織の4分の1が依然としてデータの復旧に成功していない一方で、ほぼ同数の組織が身代金を支払わずにデータを復旧できたという調査結果を目にしました。そのため、CTOは身代金を支払う必要が生じた場合に備えてサイバー保険に加入することは選択肢にならないと結論付けました。
シナリオを参照してください
現在のアーキテクチャの回復力を向上させるために、どのような手順を踏むかを説明するよう求められましたか？
TOGAF標準に基づくと、次のうちどれが最も適切な回答でしょうか？

• A. 既存のサプライヤーからの技術変更を監視し、回復力を向上させる可能性があります。
  ランサムウェア攻撃に対する災害復旧計画演習を準備・実行し、現在のエンタープライズアーキテクチャのパフォーマンスを分析します。分析結果に基づき、現在のエンタープライズアーキテクチャのギャップ分析を作成します。特定されたギャップに対処するための変更要求を作成し、実装した変更をアーキテクチャリポジトリに追加します。
• B. 貴社が、現行のエンタープライズアーキテクチャに対する変更を管理するための最新のプロセスを導入していることを確認します。提起された懸念事項の範囲に基づき、インフラストラクチャレベルでの管理を推奨します。変更は、テクノロジーアーキテクチャのベースライン記述に対して行う必要があります。変更は、アーキテクチャ委員会によって承認され、変更管理手法を用いて実装される必要があります。
• C. ランサムウェア攻撃に対する企業の耐性を検証する範囲で、アーキテクチャコンプライアンスレビューを依頼します。関係部署を特定し、各部署から代表者を指名してもらいます。次に、耐性強化の要件に対応するチェックリストを作成します。指名された代表者にチェックリストを配布し、記入してもらいます。記入済みのチェックリストを確認し、問題点を特定して解決します。最後に、推奨事項を決定し、提示します。
• D. 事業継続要件を決定し、現在のエンタープライズアーキテクチャのギャップ分析を実施します。状況に対処するための変更要件に関する推奨事項を作成し、変更要求を作成します。アーキテクチャ委員会の会議を運営し、変更要求を評価および承認します。承認後、新しいアーキテクチャ作業要求を作成し、ADMサイクルを開始して変更を定義するプロジェクトを実行します。