SC(情報セキュリティマネジメント)
SC(情報セキュリティマネジメント)
100問 • 1年前岡庭章浩
情報の機密性、完全性、可用性を維持していく(何をどのように守るか)ための組織方針や行動指針をまとめたものは情報セキュリティポリシ
状況を知るために獲得する知識のうち価値を持つものは何というか情報資産
情報セキュリティに影響を与えるかもしれない状況のことは情報セキュリティ事象
情報セキュリティポリシの構成のうち、経営陣に承認される組織のセキュリティに対する基本的な考え方や方針を示すものは情報セキュリティ方針(基本方針)
情報セキュリティポリシの構成のうち、リスクアセスメントの結果に基づいた対策基準で情報セキュリティレベルを維持、確保するための具体的な遵守事項や基準は情報セキュリティ対策基準
情報セキュリティ対策基準で定めた決まりをどのように実施するかという具体的な手順を記述するものは規定
収集した個人情報の取り扱いを定めた規範はプライバシポリシ(個人情報保護方針)
ISMS(情報セキュリティマネジメントシステム)構築で最初に実施することは適用範囲の定義
組織でルールを定め、そのルールを全体で実行させることはガバナンス
情報セキュリティガバナンスプロセスのうち、将来の戦略的目的の達成を最適化するために必要な調整を決定するのは評価
情報セキュリティガバナンスプロセスのうち、独立した立場からの客観的な監査、レビュー、認証の委託は保証
ISMSの実施段階でISMSが有効に実施され、適切に維持されているかを確認するのは内部監査
トップマネジメントが実施する定期的にISMSが有効かつ適切かを確認するのはマネジメントレビュー
災害や事故が発生した時にいつ以前のデータを復旧するかRPO
災害や事故が発生した時に復旧する目安の時間はRTO
災害や事故の発生に備え、事前にリスク分析を行い、対応策を決定することはBCM
企業が災害や事故が発生しても事業継続するための基本計画はBCP
サービスの中断や災害発生時にシステムを迅速かつ効率的に復旧させる計画はコンティンジェンシープラン(緊急時対応計画)
情報資産とその機密性や重要性、分類されたグループなどをまとめたものは情報資産台帳
まだ起こっていないが発生すれば情報資産に影響を与える事象や状態はリスク
既に発生した情報資産に影響を与える事象や状態は問題
リスクを生じさせる力を持っている要素のことはリスク源
サプライチェーン全体のどこかで生じた事故、問題で影響を受けるリスクはサプライチェーンリスク
保険に加入していることによりリスクを伴う行動が生じることはモラルハザード
通常の業務活動に関連するリスクの総称はオペレーショナルリスク
情報セキュリティのPDCA一連のプロセスはリスクマネジメント
情報セキュリティのプランにあたるものはリスクアセスメント
リスクに対して対策を実施するかの判断基準はリスク受容基準
リスク特定→リスク分析→リスク評価を行うプロセス全体のことはリスクアセスメント
リスクを定性的と定量的の2種類に分類することはリスク分析
分析したリスクについて定性的もしくは定量的にリスク基準と比較しどのように対応を行うか判断するプロセスはリスク評価
リスクを避けるために取引を行わないことはリスク忌避
リスクの発生度と重要度の組み合わせでリスクレベルを見積もる手法はリスクマトリックス
既存の標準や基準をベースに組織の対策基準を策定しチェックするリスク分析手法はベースラインアプローチ
コンサルタントや担当者の経験や判断によるリスク分析は非形式的アプローチ
情報資産について価値、脅威、脆弱性、セキュリティ要件などを識別するリスク分析は詳細リスク分析
情報システムに生じる脅威を6つの観点から脅威を洗い出す手法はSTRIDE分析
発見された脅威を引き起こす原因を攻撃者の目標をルートに、攻撃手段をノードに記載するツリー構造で列挙する分析はアタックツリー分析(ATA)
情報セキュリティのDoプロセスにあたるのはリスク対応
技術的な対策や投資をして対策するリスク対応はリスクコントロール
保険に入るのみで、特に対策をしないリスク対応はリスクファイナンシング
リスクが起こった時に被害を回避または低減するように工夫することはリスクヘッジ
ある機会を追求するためにリスクをとるまたは増加させることを何というかリスクテイク
リスクの起こりやすさ、結果を変えることを何というかリスク最適化、低減、強化
リスクを生じさせる活動を開始または継続しないと決定することはリスク回避
リスクの共有の一つでリスク発生時の費用負担を外部に転嫁することはリスク移転
15001で策定と公表が必要なものは個人情報保護方針
基本は可で、本人が拒否を希望する仕組みはオプトアウト
基本は不可で、本人が可を通知する仕組みはオプトイン
個人情報活用時に匿名化手法を用いたものは匿名加工情報
個人情報活用時に氏名などを除いたものは仮名加工情報
プライバシーマーク制度の認定をしているのはISMS認定と同じどこがしているJIPDEC
個人情報保護に関する法律やガイドラインや指令をまとめて何というかプライバシーフレームワーク
組織での個人情報保護がどのように運用されているか、プライバシー要件を満たしているかの組織判断を支援するのはプライバシー影響評価(PLA)
技術面からのプライバシー強化策はプライバシーアーキテクチャー
匿名化手法で、同じ保護属性の組み合わせが少なくともk個存在するように属性の一般化、レコードの削除をする手法はk-匿名化
刑法にてウイルス作成のみを処罰する罪は不正指令電磁的記録に関する罪
他人の権利を侵害した書き込みをプロバイダが知らなかった場合、プロバイダは罰せられないという法律はプロバイダ責任制限法
無線LANでのセキュリティ確保の標準仕様はIEEE802.11i
PKI(公開鍵基盤)で利用する公開鍵証明書の規格はX.509
標準化されたパスワードに変わる新しい認証技術はFIDO
パスワードレスの仕組みがあるデバイスで生体認証などでパスワードを使わずに認証するのはFIDO UAF
2段階認証をサポートする仕様で、1つ目はパスワード、2つ目は認証のためのハードウェアを使うのはFIDO U2F
CTAP(デバイス間連携)を用いて、ブラウザから生体認証可能なデバイスに認証要求を送り、そのデバイスで認証することはFIDO2
暗号モジュールに関するセキュリティ要件の仕様を定めた規格はFIPS PUB 140
コア、ティア、プロファイルの3つの要素で構成されているNISTが作成した重要インフラのサイバーセキュリティを向上させるためのフレームワークはNIST CSF
組織の種類や規模を問わない共通のサイバーセキュリティ対策の一覧で、識別、防御、検知、対応、復旧の5つの機能で構成されているものはフレームワーク コア
組織のサイバーセキュリティリスク管理策が、NISTサイバーセキュリティフレームワークで定義している特性をどの程度達成してるかを示す段階のことを何というかティア
スマホを安心かつ安全に利用する環境はスマートフォン安心安全強化戦略で提言しているが、その内青少年がSNSを利用するための対応はどれかスマートユースイニシアティブ
ソーシャルメディアの利用に際し、企業や学校が提唱するガイドラインはソーシャルメディアガイドライン
委託会社の財務情報に関連する業務について、監査人が受託業務に関する内部統制について評価し、報告書を作成するための国際保証業務基準はISAE3402
委託会社の財務情報に関連する業務について、監査人が受託業務に関する内部統制について評価し、報告書を作成するための米国保証業務基準はSSAE16
不正競争防止法で、他人の著名な商品にただ乗りする行為を何というか著名表示冒用行為
監査のうち基準に合っているかを保証するのは保証型監査
組織の経営方針や戦略目標を実現を目的に組織の安全性、信頼性、効率性を保つために実施するのはシステム監査
システムの提供者(主題に責任を負う者)、システムの利用者(想定利用者)、システム監査人(監査実施者)をまとめて何というか三当事者
架空口座(トランザクションのID)をふったトランザクションを実行し、正確性をチェックするシステム監査技法はどれかITF法
監査ツールとしてPCを利用する監査技法の総称はCAAT
画面での入力値が一定の規則に従っているかのチェックはエディットバリデーションチェック
数値情報の合計値を確認し、データに漏れや重複がないことをチェックするのはコントロールトータルチェック
健全かつ効率的な組織運営のための体制を企業などが自ら構築し、運用する仕組みは内部統制
内部統制のフレームワークの世界基準はCOSOフレームワーク
COSOフレームワークにはなく、日本独自の追加要素はITへの対応
企業などが競争力向上のため情報システム戦略を策定し、戦略実行を統制する仕組みを確立することはITガバナンス
財務報告の信頼性確保のために金融商品取引法に基づき義務付けられてる制度は内部統制報告制度
内部統制などの統制活動の有効性について維持•運用している人自身が自らの活動を主観的に検証、評価する手法はCSA
情報の機密性、完全性、可用性を維持していく(何をどのように守るか)ための組織方針や行動指針をまとめたものは情報セキュリティポリシ
状況を知るために獲得する知識のうち価値を持つものは何というか情報資産
情報セキュリティに影響を与えるかもしれない状況のことは情報セキュリティ事象
情報セキュリティポリシの構成のうち、経営陣に承認される組織のセキュリティに対する基本的な考え方や方針を示すものは情報セキュリティ方針(基本方針)
情報セキュリティポリシの構成のうち、リスクアセスメントの結果に基づいた対策基準で情報セキュリティレベルを維持、確保するための具体的な遵守事項や基準は情報セキュリティ対策基準
情報セキュリティ対策基準で定めた決まりをどのように実施するかという具体的な手順を記述するものは規定
収集した個人情報の取り扱いを定めた規範はプライバシポリシ(個人情報保護方針)
ISMS(情報セキュリティマネジメントシステム)構築で最初に実施することは適用範囲の定義
組織でルールを定め、そのルールを全体で実行させることはガバナンス
情報セキュリティガバナンスプロセスのうち、将来の戦略的目的の達成を最適化するために必要な調整を決定するのは評価
情報セキュリティガバナンスプロセスのうち、独立した立場からの客観的な監査、レビュー、認証の委託は保証
ISMSの実施段階でISMSが有効に実施され、適切に維持されているかを確認するのは内部監査
トップマネジメントが実施する定期的にISMSが有効かつ適切かを確認するのはマネジメントレビュー
災害や事故が発生した時にいつ以前のデータを復旧するかRPO
災害や事故が発生した時に復旧する目安の時間はRTO
災害や事故の発生に備え、事前にリスク分析を行い、対応策を決定することはBCM
企業が災害や事故が発生しても事業継続するための基本計画はBCP
サービスの中断や災害発生時にシステムを迅速かつ効率的に復旧させる計画はコンティンジェンシープラン(緊急時対応計画)
情報資産とその機密性や重要性、分類されたグループなどをまとめたものは情報資産台帳
まだ起こっていないが発生すれば情報資産に影響を与える事象や状態はリスク
既に発生した情報資産に影響を与える事象や状態は問題
リスクを生じさせる力を持っている要素のことはリスク源
サプライチェーン全体のどこかで生じた事故、問題で影響を受けるリスクはサプライチェーンリスク
保険に加入していることによりリスクを伴う行動が生じることはモラルハザード
通常の業務活動に関連するリスクの総称はオペレーショナルリスク
情報セキュリティのPDCA一連のプロセスはリスクマネジメント
情報セキュリティのプランにあたるものはリスクアセスメント
リスクに対して対策を実施するかの判断基準はリスク受容基準
リスク特定→リスク分析→リスク評価を行うプロセス全体のことはリスクアセスメント
リスクを定性的と定量的の2種類に分類することはリスク分析
分析したリスクについて定性的もしくは定量的にリスク基準と比較しどのように対応を行うか判断するプロセスはリスク評価
リスクを避けるために取引を行わないことはリスク忌避
リスクの発生度と重要度の組み合わせでリスクレベルを見積もる手法はリスクマトリックス
既存の標準や基準をベースに組織の対策基準を策定しチェックするリスク分析手法はベースラインアプローチ
コンサルタントや担当者の経験や判断によるリスク分析は非形式的アプローチ
情報資産について価値、脅威、脆弱性、セキュリティ要件などを識別するリスク分析は詳細リスク分析
情報システムに生じる脅威を6つの観点から脅威を洗い出す手法はSTRIDE分析
発見された脅威を引き起こす原因を攻撃者の目標をルートに、攻撃手段をノードに記載するツリー構造で列挙する分析はアタックツリー分析(ATA)
情報セキュリティのDoプロセスにあたるのはリスク対応
技術的な対策や投資をして対策するリスク対応はリスクコントロール
保険に入るのみで、特に対策をしないリスク対応はリスクファイナンシング
リスクが起こった時に被害を回避または低減するように工夫することはリスクヘッジ
ある機会を追求するためにリスクをとるまたは増加させることを何というかリスクテイク
リスクの起こりやすさ、結果を変えることを何というかリスク最適化、低減、強化
リスクを生じさせる活動を開始または継続しないと決定することはリスク回避
リスクの共有の一つでリスク発生時の費用負担を外部に転嫁することはリスク移転
15001で策定と公表が必要なものは個人情報保護方針
基本は可で、本人が拒否を希望する仕組みはオプトアウト
基本は不可で、本人が可を通知する仕組みはオプトイン
個人情報活用時に匿名化手法を用いたものは匿名加工情報
個人情報活用時に氏名などを除いたものは仮名加工情報
プライバシーマーク制度の認定をしているのはISMS認定と同じどこがしているJIPDEC
個人情報保護に関する法律やガイドラインや指令をまとめて何というかプライバシーフレームワーク
組織での個人情報保護がどのように運用されているか、プライバシー要件を満たしているかの組織判断を支援するのはプライバシー影響評価(PLA)
技術面からのプライバシー強化策はプライバシーアーキテクチャー
匿名化手法で、同じ保護属性の組み合わせが少なくともk個存在するように属性の一般化、レコードの削除をする手法はk-匿名化
刑法にてウイルス作成のみを処罰する罪は不正指令電磁的記録に関する罪
他人の権利を侵害した書き込みをプロバイダが知らなかった場合、プロバイダは罰せられないという法律はプロバイダ責任制限法
無線LANでのセキュリティ確保の標準仕様はIEEE802.11i
PKI(公開鍵基盤)で利用する公開鍵証明書の規格はX.509
標準化されたパスワードに変わる新しい認証技術はFIDO
パスワードレスの仕組みがあるデバイスで生体認証などでパスワードを使わずに認証するのはFIDO UAF
2段階認証をサポートする仕様で、1つ目はパスワード、2つ目は認証のためのハードウェアを使うのはFIDO U2F
CTAP(デバイス間連携)を用いて、ブラウザから生体認証可能なデバイスに認証要求を送り、そのデバイスで認証することはFIDO2
暗号モジュールに関するセキュリティ要件の仕様を定めた規格はFIPS PUB 140
コア、ティア、プロファイルの3つの要素で構成されているNISTが作成した重要インフラのサイバーセキュリティを向上させるためのフレームワークはNIST CSF
組織の種類や規模を問わない共通のサイバーセキュリティ対策の一覧で、識別、防御、検知、対応、復旧の5つの機能で構成されているものはフレームワーク コア
組織のサイバーセキュリティリスク管理策が、NISTサイバーセキュリティフレームワークで定義している特性をどの程度達成してるかを示す段階のことを何というかティア
スマホを安心かつ安全に利用する環境はスマートフォン安心安全強化戦略で提言しているが、その内青少年がSNSを利用するための対応はどれかスマートユースイニシアティブ
ソーシャルメディアの利用に際し、企業や学校が提唱するガイドラインはソーシャルメディアガイドライン
委託会社の財務情報に関連する業務について、監査人が受託業務に関する内部統制について評価し、報告書を作成するための国際保証業務基準はISAE3402
委託会社の財務情報に関連する業務について、監査人が受託業務に関する内部統制について評価し、報告書を作成するための米国保証業務基準はSSAE16
不正競争防止法で、他人の著名な商品にただ乗りする行為を何というか著名表示冒用行為
監査のうち基準に合っているかを保証するのは保証型監査
組織の経営方針や戦略目標を実現を目的に組織の安全性、信頼性、効率性を保つために実施するのはシステム監査
システムの提供者(主題に責任を負う者)、システムの利用者(想定利用者)、システム監査人(監査実施者)をまとめて何というか三当事者
架空口座(トランザクションのID)をふったトランザクションを実行し、正確性をチェックするシステム監査技法はどれかITF法
監査ツールとしてPCを利用する監査技法の総称はCAAT
画面での入力値が一定の規則に従っているかのチェックはエディットバリデーションチェック
数値情報の合計値を確認し、データに漏れや重複がないことをチェックするのはコントロールトータルチェック
健全かつ効率的な組織運営のための体制を企業などが自ら構築し、運用する仕組みは内部統制
内部統制のフレームワークの世界基準はCOSOフレームワーク
COSOフレームワークにはなく、日本独自の追加要素はITへの対応
企業などが競争力向上のため情報システム戦略を策定し、戦略実行を統制する仕組みを確立することはITガバナンス
財務報告の信頼性確保のために金融商品取引法に基づき義務付けられてる制度は内部統制報告制度
内部統制などの統制活動の有効性について維持•運用している人自身が自らの活動を主観的に検証、評価する手法はCSA
