問題一覧
1
不要になった権限を放棄しないこと
権限のクリープ
2
個人データの処理や保護の目的と方法を決める人
データコントローラー
3
リソースへアクセス時にユーザ・プロセス・デバイスの身元の主張の妥当性を確認すること
認証
4
最も脆弱性のアクセス制御の形
任意アクセス制御 (DAC)
5
銀行のATMやオンラインバンクキングを利用している顧客には、鋼材条件の変更許可が与えられません
最小権限
6
いつ、どこで、指定した条件で、システムが読み書き実行をシステムオーナーにより許可するかなどの粒度で管理するアクセス制御
ルールベースアクセス制御 (RuBAC)
7
ポリシーを指示（承認）したり、組織に義務を課す権限を持つ幹部
経営陣
8
ランダムな値やゼロで上書きすることでデータ破壊を行うこと
クリアリング
9
所有するデータの価値決定と保護を行う人
データオーナー
10
規則を遵守すること
コンプライアンス
11
ロールベースアクセス制御 (RBAC) を強制的に適用し、中央機関でポリシーを決定する
非任意アクセス制御 (NDAC)
12
リソースにアクセスできるロールの決定は、データオーナーによって管理されるか、ポリシーに基づいて適用される。
ロールベースアクセス制御 (RBAC)
13
知る必要のない情報にはアクセスできない
知る必要性
14
仲介サービスを行い、本人が誰であるか、名前は何かを主張する
IDプロバイダ (IdP)
15
アメリカにいるときはアクセスできるが、中国にいるときはアクセスできない
属性ベースアクセス制御 (ABAC)
16
Bibaの改良版で、トランザクションレベルでの完全性に焦点を当てている
Clark-Wilson
17
攻撃のコストが高いと思わせて攻撃を諦めさせる
抑止型コントロール
18
冗長構成
補完型コントロール
19
金融機関の顧客の機密データを保護する法律
GLBA
20
パイロットには、エンジンやフライト制御の新しいファームウェアのアップロードやインストールの許可が与えられません
最小権限
21
境界線にある特定の入り口を通る人や物の移動を管理する
物理的アクセス制御システム (PACS)
22
実施した作業の裏付け
デューデリジェンス
23
特権クループの削減が期待できる
ロールベースアクセス制御 (RBAC)
24
人感センサーや警備員、IDSやSIEM
検出型コントロール
25
ログインユーザのアクセス権限によってインターフェースを制限すること
制限されたインターフェース
26
責任を果たすためにすべき努力
デューデリジェンス
27
すべてのサブジェクトとオブジェクトはラベル付けされる（オーナがラベル付け）
強制アクセス制御 (MAC)
28
盗み出した、または偽りの認証資格情報を利用して認証メカニズムをバイパスする攻撃
マスカレード（仮装）攻撃
29
個人が信頼されたプロセスをすべて完了できてしまわないように制限するプロセス
職務と責任の分離
30
自分が所有するオブジェクトへのアクセス権を誰に与えるかをオーナーが決定するアクセス制御システム
任意アクセス制御 (DAC)
31
IDがオブジェクトへアクセスするための権限を付与すること
認可
32
デジタル化された著作物に関する米国の法律
DMCA
33
サブジェクトは別のオブジェクトの権利を取得できる
獲得ルール
34
バックアップやRAID、災害復旧計画など
回復型(復旧型)コントロール
35
DLPやIPS
防止型コントロール
36
職務の分離 (SoD; Separation of Duties)をすると。どんな目的を防止できるか？
談合
37
ロールやクリアランスのレベルを越えるアクセスを制限するプロセス
知る必要性
38
(ISC)2 倫理規約として、利益相反があった場合は、関係について伝える事はするが、辞退まではしな
当事者に対して、十分かつ適切なサービスを提供する
39
read upできない（機密性が高い層はアクセスできない）
単純セキュリティ属性
40
物理的な影響が残っている可能性を排除する作業のこと
パージング
41
セキュリティ確保と事業継続のバランスをとる
ビジネスオーナー
42
警告やカメラ、多要素認証、警備員
抑止型コントロール
43
手順などを組織に適したものに調整すること
テーラリング
44
IDとパスワードでアクセスしていくもの。（コンピュータ上で制御していくもの）
論理的アクセス制御システム (FICAM)
45
WIFIのルータのパスワードが固定（Admin/admin）だと、リセット攻撃されたとき、固定IDとパスワードが奪取されてしまうリスクがある
セキュアなデフォルト
46
すべてのサブジェクトに適用されるルールを使用して許可を与える
ルールベースアクセス制御 (RuBAC)
47
電子通信プライバシー法
ECPA
48
データが保存されている間の完全性や機密性の責任を負う人
データカストディアン
49
現在使用中のアカウントで発見、フィンガープリントの取得、別のサーバ上のデータやリソースにアクセスすること
水平方向の権限昇格
50
ポリシーやプロシージャによって行動を制限する。貼り紙など
指示型(管理型)コントロール :
51
read downできない（完全性が低い層の情報を使えない）
単純完全性属性
52
個人の金融、医療、職業の関する記録などを行うことは何を実施できたことになるか？
可用性
53
リソースに近い人員にアクセス制御の権限を与えること
分散管理
54
会社の上級役員は、（通常は）シスアド権限を必要としません
最小権限
55
(ISC)2 倫理規約として、攻撃的な目的でのマルウェアの拡散と展開の禁止が含まれる
社会、一般大衆の福利、およびインフラを保護する
56
ACLやケーパビリティテーブルで定義する
ルールベースアクセス制御 (RuBAC)
57
write downできない（機密性が低い層に書き込めない）
スター属性
58
常識人として一般的に期待される行動
デューケア
59
IPアドレスや特定の時間帯などでアクセスを制限する
ルールベースアクセス制御 (RuBAC)
60
接続先IPの地域が変わった際に追加の認証を求める
リスクベースアクセス制御
61
データセキュリティライフサイクルで最初にすること
生成
62
割り当てられた職務やタスクを実行するために必要な最低限のレベルの権限を割り当てること
最小権限
63
最初に検証を要求した環境以外での検証を利用するID証明
帯域外のID証明
64
ファイアウォールは、通過するすべてのトラフィックの制御
ルールベースアクセス制御 (RuBAC)
65
SAMLやOAuthなどを利用する
フェデレーションID管理 (FIM)
66
ユーザ・リソース、サービスのプロビジョニング要求の統合・相互運用に使用されるプロトコル
SPML
67
アプリケーション開発者が特権的な機能のユースケースについて誤った想定をした場合や、アプリケーションがコマンドインジェクションや悪用の使用をした場合に起こります
垂直方向の権限昇格
68
システムのセキュリティに関する計画・特定・選択・実装などを実施する
システムオーナー
69
資産を保護する必要がある人
セキュリティ担当者
70
バックアップを取ること
修正型(補償型)コントロール
71
不正行為を防ぐために使用する
職務と責任の分離
72
(ISC)2 倫理規定の規律として、情報公開や説明責任を果たす、ハラスメントをしない、社会貢献する、事実を隠さない
公正かつ誠実に責任をもって合法的に行動する
73
ドメインを超えて組織のID管理を統合すること
フェデレーションID管理 (FIM)
74
キャプチャーしたネットワークトラフィックを利用して接続を再確立するマスカレード攻撃の一種
リプレイ攻撃
75
米国ではEUの個人や組織との取引に関する概念として開発された
プライバシーシールド
76
職務や認可に応じて個別にロールを設定し、情報システムへのアクセスを許可されたユーザに限定する
ロールベースアクセス制御 (RBAC)
77
ランサムウェアのバックアップ
修正型
78
不正な開示は許さない
デューケア
79
アカウントレビューはいつ行うか？
ユーザの役割が変わるとき
80
あるIDに対するユーザの主張と第三者の証明によって妥当性を検証すること
ID証明
81
トレーニング未受講者のアカウントを停止する
デューデリジェンス
82
データの内容、前後関係、関連業務ルールについて責任を負う人
データスチュワード
83
組織や顧客に対して負う義務
デューケア
84
2要素認証を使用するようにしているシステムに構成する
リスクベースアクセス制御
85
貼り紙
指示型(管理型)コントロール
86
ブルースクリーンのとき、シャットダウンするなど
フェイルセーフ
87
ラティス（マトリックス）を利用してアクセス制御する強制アクセス制御 (MAC) モデルの一種
Biba
88
write upできない（完全性が高い層の情報を汚染できない）
スター属性
89
IDに関するすべての情報の集中的なリポジトリを提供する
IDストア
90
機密性を守るために、何を実施すべきか
デジタル署名
91
サブジェクトとオブジェクトの作成方法や、サブジェクトに権限を割り当てる方法、オブジェクトのオーナーシップを管理する方法を扱うモデル
Graham-Denning
92
個人が信頼されたプロセスをすべて完了できてしまわないように制限するプロセス
職務の分離
93
フェンス
防止型コントロール
94
役割を管理するための仕組み（ディレクトリサービスなど）が必要
ロールベースアクセス制御 (RBAC
95
完全性を守るために何をするか？
ソフトウェアのアップデート
96
一部の企業で使われて、組織内の意思決定方法を決定する組織
ガバナンス委員会
97
倫理の壁（チャイニーズウォール、万里の壁）が中央にあり、一方にアクセスできる時はもう一方にはアクセスできないモデル
Brewer-Nash
98
伝統的・文化的な義務の一部をまとめたもの
スタンダード
99
フレームワークやスタンダードを導入する際は、範囲を決定する
スコーピング
100
特許、著作権、商標のうちどれが一番短いか？
特許