「セキュリティガバナンス」と「セキュリティマネジメント」の関係を正しく表現しているのはどれか。

サードパーティリスク管理において、ベンダーの「集中リスク（Concentration Risk）」を評価すべき理由はどれか。