1.効果的なリスク管理プログラムは、リスクをどこまで低減するべきか?

2.リスク管理実践手法のことを最も適切に示しているのは、次のうちどれか?

3.エクスポージャの軽減に当てられるリソースの量を決めるために、効果的な情報セキュリティ管理プログラムは、次のうちどれを使用すべきか?

4.情報セキュリティマネージャーが、情報技術を十分に理解するべき第一の理由は何か?

5.リスク管理の目的上、物的資産の価値の基となるのは:

6.情報セキュリティ標準の見直しに着手する可能性が最も高いのは、次のうちどれが変わるときか?

7.新しいアプリケーションシステムのリスク評価を開始するに当たり、最も適切な開発フェーズは次のうちどれか?

8.効果的な重要リスク評価指標(KRI)に最も欠かせない特性は何か?KRIが:

9.リスク受容は、次のうちどれの構成要素であるか?

10.リスク管理プログラムは、リスクをどこまで下げるよう設計されるか?

11.一般的にはどの間隔で、リスク評価が実施されるべきか?

12.定性的リスク評価技法を使用して最も適切に評価されるリスクシナリオは、次のうちどれか?

13.情報セキュリティリスクの許容レベルの決定を行うべきは:

14.定量的リスク分析が最も適切なのは、評価の結果が:

15.ギャップ分析を使用するのが最も適切なのは、次のうちどれか?

16.複数の小規模な国内処理拠点を有する事業体における最大の情報セキュリティリスクを表わしているのは、次のうちどの状況か?

17.ITリスクが許容レベルまで低下したかどうかを判定する際の基準は:

18.リスク管理プログラムを導入する第一の理由は、次のうちどれか?リスク管理プログラムは:

19.事業のリスク分析を実施するのに最適なポジションにいるのは、次のうちどのグループか?

20.定量的リスク評価技法を使用して最も適切に評価されるリスクの種類は、次のうちどれか?

21.フレームリレーネットワーク接続が18～24時間切断された場合の影響を計算する際、次のうちどれが最も役立つか?

22.情報セキュリティリスク分析の最も有益な成果物は、次のうちどれか?

23.特定されたリスクを軽減するための改善の取り組みを継続的に追跡するには、次のうちどのアプローチを用いれば最善の結果を達成できるか?

24.効果的なリスク分析において、評価すべき主要な2つの構成要素の組み合わせは、次のうちどれか?

25.情報セキュリティマネージャーがリスク評価技法を用いるべき目的は:

26.リスクを評価する際に最も重要であるものは、次のうちどれか?

27.情報セキュリティマネージャーは、セキュリティ事象の数が増加していることを示すレポートを受け取った。最も可能性が高い説明は:

28.情報セキュリティをビジネスプロセスに統合することの重要性を経営者に対して強調するために、新しく採用された情報セキュリティ責任者が最初にすべきことは:

29.定量的リスク分析を実施するとき、潜在的な損害を推定するために最も重要なのは次のうちどれか?

30.リスク管理プログラムの第一の目標は何か?

31.重要リスク評価指標の特性を最も表しているのは、次のうちどれか?

32.情報リスク分析の実施において最初のステップは何か?

33.ある事業体では、大型購買提案と新しいプロセスについて、リスク評価およびビジネス・インパクト分析(BIA)を完了した。 　情報セキュリティマネージャーと業務部門の部長の間に、識別されたリスク評価と結果に意見の相違がある。 　情報セキュリティマネージャーの最善のアプローチは、次のうちどれか?

34.リスク管理プログラムを効率化するために最も欠かせないのは、次のうちどれか?

35.組織のリスクを最も適切に示すのは、次のどの評価指標であるか?

36.効果的なガバナンスの指標は次のうちどれか?

37.リスク評価を定期的に繰り返すべき理由は:

38.リスク評価の実施において、最初に実行すべきステップは次のうちどれか?

39.リスク管理プログラムに合理的に期待されることは何か?

40.開発プロセスの次のどのフェーズでリスク評価を最初に組み込むべきか?

41.初めて技術的な脆弱性評価を実施する際、最優先すべきは次のうちどれか?

42.リスク評価チームが発見したDoS脆弱性に対して、事業体が何の対策も講じないことを決定するのはなぜか?

43.最も重大な重要リスク評価指標となるのは、次のうちどれか?

44.セキュリティプログラムの中で、リスク分析を使用する第一の目的は何か?

45.規制当局は、四半期決算報告の公開に関する新しい規制を発表した。セキュリティ責任者が最初に実行すべき作業は:

46.あるオンラインバンキング機関では、個人情報が漏洩した可能性のある顧客に対する通知と補償の必要性があるため、顧客の個人情報の侵害が財務に与える重大な影響を懸念している。 　この機関は、残存リスクが常に高すぎると判断し、どうすることを決定するか?

47.コンピュータシステムに侵入する機会を攻撃者に与える可能性がある欠陥を特定するために使用すべき手段は何か?

48.オフショアプロバイダを現地で監査する際に、情報セキュリティレビューで最も見落とされがちなリスクは、次のうちどれか?

49.リスク管理プロセスの継続的向上を最も適切にサポートするのは、次のうちどれか?

50.クロスサイトスクリプティングの脆弱性を悪用する攻撃者が最大限に利用するのは:

51.データ漏洩リスクに最も適切に対処するのは、次のうちどれか?

52.事業体に内部または外部から影響を与える要因のうち、最も推測が難しいのは次のうちどれか?

53.ある外部業者が、ビジネスアプリケーションの開発に従事した。バック・ドアの存在を検証するために最適なテストは次のうちどれか?

54.ある会社の電子メールサーバでは、匿名ファイル転送プロトコル(AnonymousFTP)の使用を許可しているが、悪用される恐れがある。 　対処が必要であるかを判断する際、情報セキュリティマネージャーはどのプロセスを実施するべきか?

55.機密情報への内部者の脅威に対して最も効果的な対策は、次のうちどれか?

56.リスク評価調査後、全世界に支店を持つある銀行では、ID窃取が横行している特定の地域で事業を継続することを決定した。 　情報セキュリティマネージャーが事業体に推奨すべきことは:

57.ある事業体は、自社の顧客関係管理をサードパーティ・サービス・プロバイダに外部委託することを計画した。 　事業体が最初にすべきことは、次のうちどれか?

58.クロスサイトリクエストフォージェリ(XSRF)攻撃が成功する場合の根本原因は何か?

59.リスク評価を実施する際に、最も重要な考慮事項は次のうちどれか?

60.適切なコントロールを決定するために、新しいプロセスのリスク評価をどの時点で行うべきか?

61.リスク管理の最良の戦略は何か?

62.暗号化していないデータが入っているモバイル機器の紛失において考慮すべき最も重要な要因は、次のうちどれか?

63.ある金融機関では、情報セキュリティリソースを自機関のビジネス部門へ割り当てることを計画している。 　セキュリティ活動は、どの領域に焦点を当てるべきか?

64.二要素認証システムの費用便益分析に含めるものとして、最も関連性が高いのは次のうちどれか?

65.ある事業体が使用しているファイヤウォールソフトウェアに深刻な脆弱性があることが報告された。 　情報セキュリティマネージャーが即座に行うべき行動は次のうちどれか?

66.ネットワーク脆弱性評価において、特定することが期待されるのは次のうちどれか?

67.重要なウェブ・サーバのセキュリティで重大な脆弱性が発見された場合、早急に通知を行うべき相手は:

68.リスク評価の結果により、リスク軽減が必要とする費用は得られる利益より格段に高いことが判明する。 　情報セキュリティマネージャーが経営者に推奨するリスクの対処法は:

69.情報セキュリティにとって、最大のリスクは次のうちどれか?

70.クライアント/サーバ環境でミドルウェアに関連する最も重要なリスクは、次のうちどれか?

71.事業体のネットワーク外部への開示や転送を防止する目的で暗号化された機密データの保護において、最も効果的なセキュリティ機構は次のうちどれか?

72.新しいプライバシー法が事業体に与える潜在的影響を評価する際に、情報セキュリティ管理者は、最初にどの活動を実施すべきか?

73.有効性を最大にするためには、リスク評価をいつ実施すべきか?

74.セキュリティ脆弱性が最初に公表されてから、パッチが配信されるまでには遅れがある。 　この期間にリスクを軽減するために最初に実施すべきことは、次のうちどれか?

75.特定のリスク軽減コントロールを導入すべきかどうかについて、最も明確に示す技法は、次のうちどれか?

76.継続的にリスク評価を実施する一番の理由は、次のうちどれか?

77.統計的アノマリ型の侵入検知システム(statIDS)がシグネチャ型IDSに比べあまり一般的に使用されない最も重要な理由は、statIDSが:

78.機密度および重要度に応じて、情報リソースを分類する第一の理由は:

79.定性的リスク分析を実施する際、信頼できる結果を最も適切に提示するのは次のうちどれか?

80.リスク管理プログラムの全体的な有効性を確保するために、最適な方法は次のうちどれか?

81.リスク登録簿の最も効果的な使用方法は:

82.生体認証デバイスによってコントロールされる無人サーバルームへの物理的アクセスコンプライアンスの適切な保証を提供する上で、最も効果的なコントロールは次のうちどれか?

83.発生確率は低くとも、影響レベルは高い自然災害などのリスクに対処する上で、最も効果的な方法は次のうちどれか?

84.以前受容されたリスクのために、何の活動を実施する必要があるか?

85.情報セキュリティマネージャーは、法執行機関の担当者から、ソーシャルエンジニアリングやネットワーク侵入などのさまざまな技法を駆使することで悪名高いハッカー集団が会社を標的にしている証拠があるとアドバイスを受けた。 　セキュリティマネージャーが最初に講じるべき対策は:

86.コンソールまたはオペレーションルームで不慮のシステムシャットダウンを予防するために最適なコントロールは、次のうちどれか?

87.ネットワークユーザが事業体のセキュリティ要件を遵守する責任があることを確実に意識させるための最も効果的な方法は、次のうちどれか?

88.第三者に、事業体に対して攻撃および侵入テストを実施してもらう前に行う最も重要な行動は何か?

89.部門ごとのシステムが、情報セキュリティポリシーのパスワード強度要件を遵守していない場合に取られる最良の行動は何か?

90.組織のセキュリティに対して最大のリスクとなる環境は、次のうちどれか?

91.エンタープライズ・リソース・プラニング(ERP)システムのセキュリティに対して最大の脅威となるのは、次のうちどれか?

92.情報セキュリティの投資利益率は、次のどれを基準に評価するのが最適であるか?

93.ある事業体は、IT運用を海外に移転する予定である。 　情報セキュリティマネージャーが第一に焦点を絞るべきは:

94.次のビジネス機能のうち、情報セキュリティと統合することにより、標準的な生産処理の一部としてリスクに対処できる可能性が最も高いのはどれか?

95.保険の使用は次のどの例であるか?

96.残存リスクが決まった後、事業体が次に行うべきことは:

97.情報セキュリティマネージャーは、セキュリティのレビューを行い、すべての従業員がデータセンターのアクセス・コントロール・ポリシーに従うものではないと特定した。 　この問題に対処するための最初のステップは:

98.リスク選好度についての知識は、セキュリティコントロールの有効性を高める上でどのように役立つか?

99.ある事業部が、既存の情報セキュリティ標準に違反するような方法で、新しい技術を展開しようとしている。 　情報セキュリティマネージャーが早急に取るべき行動はどれか?

100.ログ記録は、システムへの侵入に対するどのタイプの防御の例であるか?