ユーザ環境の管理 ネットワーク利用者に制限をかけること。 （　　　）や（　　　）に関する制限 不要な（　　　）の（　　　）に関する制限 （　　　）やデスクトップなどの（　　　）に関する制限

サーバのパフォーマンス監視 サーバが適切に稼働しているか把握するために行う サーバで実行中の（　　　） サーバの（　　　）や（　　　）の利用状況 （　　　）の利用状況

情報システムにまつわるリスクに適切に対処しているかどうかを、独立かつ専門的な立場のシステム監査人が点検•評価•点検すること。

システム監査を行うもの。監査対象部門から独立している必要があり、客観的な立場で公正な、判断を行う態度や、高い理論感も求められる。

システム監査の実施手順 （）　効率的に実施するため計画を策定する （）　資料収集やインタビューを行い実態を　　　　　　　　 　　　把握する （）　結論のための監査証拠などを収集する （）　監査対象や業務が妥当であるかを判断　 　　　する （）　監査結果を報告し、フォローアップする

システム監査人が、あらかじめ監査対象に応じて調整して作成した チェックリスト形式の質問票に対して、関係者から解答を求める。

監査証拠を入手するために、関連する資料および文書類を入手し、 内容を点検する。

実体を確かめるために、直接関係者に口頭で問い合わせ、回答を入手する。

データの生成から入力、処理、出力、活用までのプロセス、および 組み込まれているコントロールを書面上または実際に追跡する。

関連する複数の証拠資料を突き合せること。記録された最終結果について、原子資料まで遡って起因となった事象と突き合わせる。

システム監査人が被監査部門などに直接おもむき、対象業務の流れ などの状況を、自ら観察・調査する。

監査対象ファイルの検索、抽出、計算など、システム監査上使用頻度の高い機能に特化し、かつ、簡単な操作で利用できる支援専用のソフトウェアを利用してシステム監査を実施する。

一般ユーザーのアクセス権、または無権限でテスト対象システムへの侵入を試み、システム資源が守られているかを確認する技法。

健全かつ効率的な組織運営のための体制を企業などが自ら構築して運用するしくみのこと。

内部統制のうち、IT に関連する内容を統制するためにシステムやシステムに関連する業務について、ルールやしくみなどを整備・実施すること。

・内部統制 … （　　　　　　 ） の明確化、職務 （ ） 、実施ルールの設定、 （ ） の確立など

・ＩＴ統制 … システムを使って業務を統制する（ ）や、システム開発から運用まで を含めた（ ）など。

利用する権利の無いものが、企業の情報システムや個人の情報端末に、無断で侵入する行為。

企業の情報システムなどのセキュリティ対策を破壊あるいは無効化して侵入し、無断でシステムを利用したり破壊したりする悪意あ る行為。

情報セキュリティの三原則の 1 つ。企業の内部情報や個人情報等にアクセスする権利がない人には情報を操作させないようにし、外部 に情報を流出させないこと。

情報セキュリティの三原則の 1 つ。情報が外部の第三者に意図しない内容に書き換えられないようにし、最新で正しく使えること。

情報セキュリティの三原則の 1 つ。必要な情報へのアクセス権限を持っている人に対していつでも利用可能にし、必要なときにアクセ スすることができること。

ビジネス活動の継続を阻害する脅威に対して、企業の事業活動を継続的に行うことができるように計画すること。

システム等のセキュリティ上の欠陥。人的なもの等も含まれる。

システムやソフトウェア等のセキュリティ上の技術的な欠陥。

不正は、動機、機械、正当化がすべて揃うと発生するという考え方。

人間の心理的な隙やミスを狙い、パスワードなどの個人情報を、機器を使用せずに不正に入手する行為。

各種コンピュータや通信機器などの装置が一括して設置、運用されている施設。

入室記録がない人に対して退室を許可しないしくみ。

悪意のあるソフトウェアの総称。

マクロ機能を悪用したウイルスの一種。

ミミズなどの意味があり、ファイルに寄生せず、単体で実行する。

外部から遠隔操作を行うための侵入口。

有用なソフトウェアを装って正常な動作に見せかけ、裏で悪意ある動作を行う。

攻撃者の指示を待ち、遠隔操作で動作を行う。感染した世界中のコンピュータで構築されたネットワークをボットネットという。

ファイルを勝手に暗号化し、復号と引き換えに金銭を要求する。

パスワードを不正に探り出すこと。様々な手法がある。

力づくや強引という意味。すべてのパターンを試す手法。

入手したアカウントリストに対して単純なパスワードを試す手法。

辞書や人名など、設定しそうな文字列を試す手法。

入手したアカウントリストを使って他のサービスへのアクセスを試す手法。

利用者がよく使う Web サイトにスクリプトを仕込み、利用者のブラウザで実行させる攻撃手法。

SQL を利用した Web サイトで不正な SQL を送る攻撃手法。

標的の Web サイト上に、目に見えないリンクを設置し、クリックさせる攻撃手法。

IP アドレスを偽装して他人になりすまし、不正を行う攻撃手法。

IP アドレスと URL の一部のドメイン名を対応付ける DNS のしくみを悪用した攻撃手法。

大量のパケットを送り付けてサーバの負荷を増やす攻撃手法。

世界中のコンピュータから一斉に標的のコンピュータに大量のパ ケットを送り付ける攻撃。世界中のコンピュータから一斉に標的のコンピュータに大量のパ ケットを送り付ける攻撃。

特定のメールアドレスに大量のメールを送り付ける攻撃。

特定の企業や団体に対して行われるサイバー攻撃。

標的型攻撃の 1 つ。ターゲットがよく閲覧する Web サイトに不正なプログラムを埋め込む攻撃手法。

ソフトウェアの新たなセキュリティホールが発見され、公表される前に攻撃を行う手法。

火災や地震などの天災による（ ）

自社の信用失墜あるいはブランド力の低下による（ ）

自社製品が顧客に対して不利益を起こしたときの賠償責任などの（ ）

従業員の事故などによる（ ）

業務活動全般で起こる（ ）

商品供給一連の工程における委託先などで起こる（ ）

SNS による（ ）のリスク

情報資産へのリスクを調査し分析する作業を情報セキュリティ（ ）という。

脅威のもとを除去し、リスクを発生させない（ ）

リスクを移転したり、複数に分散したりする（　　　　　　）

脆弱性の対策など、発生の可能性を低くする（　　　　 ）

影響が小さいためリスク自体を許容する （　　　　　）

サイバーセキュリティに関する施策の基本理念を定めたもの。

他人の情報端末に許可なく不正にアクセスする行為を禁じる法律。

個人情報を扱う事業者へ、情報の取扱に関する責務を定めた法律

Web に発信された情報で個人の人権等が侵害された場合に、サイト運営者やプロバイダの責任を免除し、発信者の情報を削除したり 開示したりできることを定めた法律。

利用者の同意を得ず無差別に送信する迷惑メールを規制する法律。

企業や組織において情報セキュリティ対策の方針を定めた指針。基本方針、対策基準、実施手順の三階層で構成される。

システムなどに被害を及ぼすような事象のこと。解決すべき課題。

インシデントに対応する部署やプロジェクトチーム

ネットワーク監視やインシデントへの対応策のアドバイスを行う。