CISSP（用語4）

通報

問題一覧

製品のセキュリティコントロールを特定する文書（具体的な内容を記載）

セキュリティターゲット (ST; Security Target)

内部評価の実施には、以下のステップが含まれる：最初のステップは？

憲章

外部評価の実施には、以下のステップが含まれる：最初のステップは？

憲章

外部テストと内部テストの両方を実施する場合は、ｘｘｘを先に行う

外部テスト

ファーガン (Fagan) テストで最初に実施するには？

計画

システムやセキュリティの障害につながる一連の行為が人間によって行われると仮定した検証（コードを正しく使用せず、悪用した場合の動作に基づいて区往査）

ミスユースケーステスト

予期しないデータや無効なデータがある場合のアプリケーションの動作をテストする

ネガティブテスト

テストされたユースケース数／ユースケースの総数

テストカバレッジ

すべてのステートメントが最低一回は実行されるようなテストケースを実行する

ステートメントカバレッジ

条件の分岐をすべて通るようなテストケースを実行する

ディシジョン (ブランチ) カバレッジ

条件の組み合わせごとにテストケースを実行する

コンディションカバレッジ

パス (開始から終了までの処理) ごとにテストケースを実行する

パスカバレッジ

アプリケーションの異なるコンポーネント間のテスト

インターフェーステスト

セキュリティ研究者がシステムや製品の脆弱性を調査、探索、リバースエンジニアリングで検出すること

倫理的ハッキング

倫理ペネトレーションテストの方法は、厳密に従わなければならないが、最初のステップは？

規定

本番システムを強制的に停止させて、組織のインシデント検知、対応、復旧能力を評価するもの

カオスエンジニアリングアプローチ

Web上での各ユーザのやりとりを収集し分析するためのWeb監視手法

RUM (Real User Monitoring)

動作スクリプトを利用し、実際の顧客のWebサイト利用をシミュレートするWebサイト監視

合成トランザクション

外部エージェントがWebアプリに対してスクリプト化された処理を実行し、性能 (UX) を評価する

合成性能監視

幅広い問題に適用できる知識体系を教える

教育

職務を実行するために必要な知識を習得する。具体的な知識とタスク

トレーニング

過去を見るもの。過去の活動を精査するもの

KPI

未来を見るもの。リスクプロファイルを測定し、影響の変化を把握する

KRI

標準的なアクティビティのベースラインから逸脱したものを疑わしいと判断する

逸脱

トラフィックに含まれる既知の攻撃パターンを認識する

シグネチャ

機械学習によるベースラインを設定し、逸脱したものを疑わしいと判断する

ヒューリスティック

システム内のセンサーからの情報とイベントを集約し、相関して分析することでイベントをリアルタイムに監視するソリューション（監視だけ）

SIEM

syslogは、ｘｘｘｘを設定して、送信するログを決める閾値を設定できる

重大度

継続モニタリング (ISCM)の６つのステップのうち最初のステップは？

定義

機械学習を利用して組織内のユーザとエンティティのふるまいを分析すること

UEBA

現在の状態から未来の状態に移行するためのルール

変更管理

ｘｘｘにおいて、ベースライン化は、システム全体のインベントリを構成要素や部品ごとに作成すること

構成管理

特定の構成ベースラインを取得し、そのコピーを修正して、あるべき環境に適切に配置するための活動 (新しいインスタンスの構築など)

プロビジョニング

ユーザが変更をリクエストし、マネージャーが費用対効果を分析し、開発者がタスクの優先順位付けができる

リクエストコントロール

すべての変更が理解され、機能することを確認するための受入テストが含まれる

リリースコントロール

ソフトウェアのバージョン変更が、変更コントロールと構成管理プロセスに従って実行されることを保証する

構成コントロール

ユーザからの提案や問題報告をもとに作成される

変更要求

パッチを本番環境に当てる際は、組織の変更管理のプロシージャのうち最初のステップは？

通知

共通脆弱性識別子

CVE

脆弱性のレベルをスコアで表示する

CVSS

脆弱性に関する情報を提供する。NISTが提供するSCAPで使用されている

NVD

組織の情報システムを保護するために必要な最低限の管理を定義し、文書化し、実施するための包括的なプロセス

構成管理

変更に関する活動を統括し、ステークホルダの関与と承認のための構造を提供するとともに、変更が適切にリソースを確保して実施されることを保障する

CMB

NIST SP 800-61 はインシデントレスポンスの活動を4段階のライフサイクルで構成している　最初のステップは？

準備

ISO/IEC 27035 はインシデントレスポンスの活動を5段階のフェーズで構成している　最初のステップは？

準備

フォレンジック調査の段階：最初のステップは？

収集

被害を隔離し、原因を排除し、影響を受けたシステムを復旧させるためのプロセス

レスポンス

システムやデータが再構築されて運用可能であると宣言されるプロセス

復旧

インシデントの再発の可能性を制限・低減するための構成変更のプロセス

是正

コミット毎にトランザクションをログに書き込み、指定のコミットまでロールバックできる

ジャーナリング

データブロックが変更されるたびに、そのブロックがスナップショットされる

継続的データ保護 (CDP; Continuous Data Protection)

スケジューリングされた時間（1時間ごと）にトランザクションログをリモートサイトに自動転送する

リモートジャーナリング

プライマリーDBのすべてのトランザクションをリモートサイトにミラーリングする

リモートミラーリング

スケジューリングされた時間（毎日）にプライマリーDBからリモートサイトにバックアップを自動転送する

電子ボールティング

プロダクションサイトと並行して運用されるサイト。高い可用性を提供する

ミラーサイト

犯罪の課題を組織的、機械的、自然的デザインの手法で解決するためのもの

CPTED

データセンターは、ｘｘの階に配置する。

2階

イオン化や光電セルを使用して火災を検知する

スポット型煙検知器

吸引式センサーを使用する

超高感度煙検知 (VESDA; Very Early Somke Detection Apparatus)

COBITの5つの原則　最初のステップは？

ステークホルダーのニーズを満た

米国公認会計士協会が発表したもの。GDPRなどの基準が組み込まれている

プライバシーマネジメントフレームワーク

リスクマネジメントフレームワーク (RMF)：の最初のステップは？

準備

通信機器やシステム要素や物理的なオブジェクトなど。たとえインシデントとは無関係なものでも証拠となりうるもの

アーティファクト

デジタルフォレンジック調査で初めにやることは、カストディアンを任命すること

証拠カストディアンの任命

証拠を提示するとき、以下の信条に従うこと。最初のステップは？

認容性

インサイダー活動の調査。プロセスの全てが組織内に収まる

行政調査

「証拠の優越性 (preponderance-of-the-evidence)」基準を使用する

民事調査

地域において適切な基準を使用する

規制調査

人の話したことは原則として証拠にならない

伝聞証拠ルール

コピーの証拠よりもオリジナルを優先する

最良証拠ルール

書面の契約がすべて

口頭証拠ルール

組織が保有する資産の価値、資産を失う潜在的なリスク、組織に影響を及ぼす可能性の高い脅威、脅威が現実となる可能性を判断する取り組み

BIA (Business Impact Analysis)

組織を緊急時の運営から通常の運営に復帰させるための作業や活動

災害復旧 (DR)

プライマリサイトで何らかのインシデントが起きた時に、以下を実施する計画のこと

事業継続計画

用意されたシナリオに沿って参加者は対応活動のために訪れる必要のある場所に移動する

ウォークスルー

特定のオフィスや場所にいる従業員全員が用意されたシナリオ上の緊急事態に対応する

シミュレーション

代替サイトから実際に運用するまでの作業を実施する

並行 (パラレル) 演習

資産の適切かつ承認された使用方法をユーザの想定される観点から詳細に説明する

AUP; Acceptable Use Policies

リスク事象が偶発的に意図的でなくても発生する可能性があるもの（アクシデント）

ハザード

目的を達成するために脆弱性を悪用する人や集団

脅威

リスクを相殺するのに十分な利益があるという理由で、リスクに対する活動をそれ以上取らないこと

リスク受容

リスク事象の発生の可能性やその影響を防止・低減すること

リスク低減 (緩和)

組織の活動の一部または全てを中止すること

リスク回避

特定のセキュリティソリューションを購入して実装する

リスク回避

ファイアウォール、電子バッチリーダー、PCにアクセスする指紋リーダー、アクセス制御リスト

技術/論理的コントロール

壁、フェンス、ガード、ロック、ボラード（支柱）

物理的コントロール

自分のペースで受けられる（自分のペースで実施でき、拡張性がある）

コンピュータベーストレーニング

許容される行動様式を規定するもの。経営陣により承認される

組織の倫理規約

データが信用できるかを確認できること。意図しない変更がないか？変更管理が正し運用されてるか、変更されていないか？

真正性

個人の活動に対する利益が他人に強制的に奪われない

プライバシー

人や財産への危害を防止・制御すること

安全性

ライフスタイル終了時のシャットダウンや廃棄

デューケア

リスクや脅威の可能について認識し、監視する

デューデリジェンス

契約先のベンダーのガバナンスを確認し、自社と同レベルであるか確認する

デューデリジェンス

組織を運営するためのプロセスであり、現場を観察して目標に向かっていないものを修正すること

ガバナンス

多くの場合、監査及び開示報告書が必要

デューデリジェンス

国民は政府による不当な捜索や押収から保護される

米国憲法修正第4条

9月11日の同時多発テロの直後、2001年10月26日に署名され、裁判所の捜査令状などがなくてもデータオーナーなどに対する捜索・押収の権限を拡大した

米国パトリオット法

HIPPAの対象団体に代わって個人の健康情報を扱う者は、ｘｘｘｘの条項に従うこと

ビジネスアソシエイツ契約 (BAA)

100

学生の記録のプライバシーを保護する法律

FERPA

CISSP_test1

CISSP_test1

CISSP_test2

エッグスンシングス · 77問 · 2年前

CISSP_test2

77問 • 2年前

CISSP_test3

CISSP_test3

CISSP_test4

CISSP_test4

CISSP_test5

CISSP_test5

CISSP_test6

エッグスンシングス · 57問 · 2年前

CISSP_test6

57問 • 2年前

CISSP（模擬テスト3）

エッグスンシングス · 30問 · 2年前

CISSP（模擬テスト3）

30問 • 2年前

CISSP本番

CISSP本番

CISS本番2

CISS本番2

Udemy

Udemy

CISSP本番3

CISSP本番3

CISSP本番4

CISSP本番4

CISSP本番5

エッグスンシングス · 14問 · 1年前

CISSP本番5

14問 • 1年前

ISC(Final Assessment )

エッグスンシングス · 40問 · 1年前

ISC(Final Assessment )

40問 • 1年前

CISSP　暗記（PORT）

エッグスンシングス · 85問 · 1年前

CISSP　暗記（PORT）

85問 • 1年前

CISSP(予想問題）

エッグスンシングス · 22問 · 1年前

CISSP(予想問題）

22問 • 1年前

ISC2（ドメイン1）

エッグスンシングス · 42問 · 1年前

ISC2（ドメイン1）

42問 • 1年前

ISC2（ドメイン2）

エッグスンシングス · 25問 · 1年前

ISC2（ドメイン2）

25問 • 1年前

ISC2（ドメイン3）

エッグスンシングス · 69問 · 1年前

ISC2（ドメイン3）

69問 • 1年前

ISC2（ドメイン4）

エッグスンシングス · 26問 · 1年前

ISC2（ドメイン4）

26問 • 1年前