来年施行される新しいセキュリティ規制が発表されました。会社は事業を継続するために、これに準拠する必要があります。会社が次に行うべき活動は次のうちどれですか？

新しいセキュリティ規制が発表され、それに準拠する必要がある場合、最初に行うべき活動は「ギャップ分析」です。ギャップ分析は、現在のセキュリティ体制と新しい規制要件との間の差（ギャップ）を特定するために行われます。これにより、どの部分が不足しており、どのような変更が必要かを明確に把握できます。 「ポリシーレビュー」は、ギャップ分析で特定された不足を埋めるためにポリシーを改訂する段階で必要になりますが、最初ではありません。「セキュリティ手順の評価」も同様に、ギャップ分析後に具体的な手順を見直す際に実施されます。「脅威範囲の縮小」は、リスク管理の一部であり、規制準拠の初期段階で直接行う活動ではありません。