問題一覧
1
(ISC)2 倫理規約として、攻撃的な目的でのマルウェアの拡散と展開の禁止が含まれる
社会、一般大衆の福利、およびインフラを保護する
2
(ISC)2 倫理規定の規律として、情報公開や説明責任を果たす、ハラスメントをしない、社会貢献する、事実を隠さない
公正かつ誠実に責任をもって合法的に行動する
3
(ISC)2 倫理規約として、利益相反があった場合は、関係について伝える事はするが、辞退まではしな
当事者に対して、十分かつ適切なサービスを提供する
4
機密性を守るために、何を実施すべきか
デジタル署名
5
完全性を守るために何をするか？
ソフトウェアのアップデート
6
個人の金融、医療、職業の関する記録などを行うことは何を実施できたことになるか？
可用性
7
組織や顧客に対して負う義務
デューケア
8
実施した作業の裏付け
デューデリジェンス
9
常識人として一般的に期待される行動
デューケア
10
責任を果たすためにすべき努力
デューデリジェンス
11
トレーニング未受講者のアカウントを停止する
デューデリジェンス
12
不正な開示は許さない
デューケア
13
一部の企業で使われて、組織内の意思決定方法を決定する組織
ガバナンス委員会
14
ポリシーを指示（承認）したり、組織に義務を課す権限を持つ幹部
経営陣
15
資産を保護する必要がある人
セキュリティ担当者
16
伝統的・文化的な義務の一部をまとめたもの
スタンダード
17
規則を遵守すること
コンプライアンス
18
米国ではEUの個人や組織との取引に関する概念として開発された
プライバシーシールド
19
金融機関の顧客の機密データを保護する法律
GLBA
20
電子通信プライバシー法
ECPA
21
特許、著作権、商標のうちどれが一番短いか？
特許
22
デジタル化された著作物に関する米国の法律
DMCA
23
銀行のATMやオンラインバンクキングを利用している顧客には、鋼材条件の変更許可が与えられません
最小権限
24
パイロットには、エンジンやフライト制御の新しいファームウェアのアップロードやインストールの許可が与えられません
最小権限
25
会社の上級役員は、（通常は）シスアド権限を必要としません
最小権限
26
ブルースクリーンのとき、シャットダウンするなど
フェイルセーフ
27
WIFIのルータのパスワードが固定（Admin/admin）だと、リセット攻撃されたとき、固定IDとパスワードが奪取されてしまうリスクがある
セキュアなデフォルト
28
個人が信頼されたプロセスをすべて完了できてしまわないように制限するプロセス
職務の分離
29
職務の分離 (SoD; Separation of Duties)をすると。どんな目的を防止できるか？
談合
30
データセキュリティライフサイクルで最初にすること
生成
31
個人データの処理や保護の目的と方法を決める人
データコントローラー
32
所有するデータの価値決定と保護を行う人
データオーナー
33
データの内容、前後関係、関連業務ルールについて責任を負う人
データスチュワード
34
データが保存されている間の完全性や機密性の責任を負う人
データカストディアン
35
システムのセキュリティに関する計画・特定・選択・実装などを実施する
システムオーナー
36
セキュリティ確保と事業継続のバランスをとる
ビジネスオーナー
37
物理的な影響が残っている可能性を排除する作業のこと
パージング
38
ランダムな値やゼロで上書きすることでデータ破壊を行うこと
クリアリング
39
ポリシーやプロシージャによって行動を制限する。貼り紙など
指示型(管理型)コントロール :
40
攻撃のコストが高いと思わせて攻撃を諦めさせる
抑止型コントロール
41
貼り紙
指示型(管理型)コントロール
42
フェンス
防止型コントロール
43
DLPやIPS
防止型コントロール
44
冗長構成
補完型コントロール
45
警告やカメラ、多要素認証、警備員
抑止型コントロール
46
人感センサーや警備員、IDSやSIEM
検出型コントロール
47
バックアップを取ること
修正型(補償型)コントロール
48
バックアップやRAID、災害復旧計画など
回復型(復旧型)コントロール
49
ランサムウェアのバックアップ
修正型
50
フレームワークやスタンダードを導入する際は、範囲を決定する
スコーピング
51
手順などを組織に適したものに調整すること
テーラリング
52
あるIDに対するユーザの主張と第三者の証明によって妥当性を検証すること
ID証明
53
最初に検証を要求した環境以外での検証を利用するID証明
帯域外のID証明
54
ユーザ・リソース、サービスのプロビジョニング要求の統合・相互運用に使用されるプロトコル
SPML
55
盗み出した、または偽りの認証資格情報を利用して認証メカニズムをバイパスする攻撃
マスカレード（仮装）攻撃
56
キャプチャーしたネットワークトラフィックを利用して接続を再確立するマスカレード攻撃の一種
リプレイ攻撃
57
リソースへアクセス時にユーザ・プロセス・デバイスの身元の主張の妥当性を確認すること
認証
58
IDがオブジェクトへアクセスするための権限を付与すること
認可
59
不要になった権限を放棄しないこと
権限のクリープ
60
アカウントレビューはいつ行うか？
ユーザの役割が変わるとき
61
アプリケーション開発者が特権的な機能のユースケースについて誤った想定をした場合や、アプリケーションがコマンドインジェクションや悪用の使用をした場合に起こります
垂直方向の権限昇格
62
現在使用中のアカウントで発見、フィンガープリントの取得、別のサーバ上のデータやリソースにアクセスすること
水平方向の権限昇格
63
read upできない（機密性が高い層はアクセスできない）
単純セキュリティ属性
64
write downできない（機密性が低い層に書き込めない）
スター属性
65
read downできない（完全性が低い層の情報を使えない）
単純完全性属性
66
write upできない（完全性が高い層の情報を汚染できない）
スター属性
67
ラティス（マトリックス）を利用してアクセス制御する強制アクセス制御 (MAC) モデルの一種
Biba
68
倫理の壁（チャイニーズウォール、万里の壁）が中央にあり、一方にアクセスできる時はもう一方にはアクセスできないモデル
Brewer-Nash
69
Bibaの改良版で、トランザクションレベルでの完全性に焦点を当てている
Clark-Wilson
70
サブジェクトとオブジェクトの作成方法や、サブジェクトに権限を割り当てる方法、オブジェクトのオーナーシップを管理する方法を扱うモデル
Graham-Denning
71
サブジェクトは別のオブジェクトの権利を取得できる
獲得ルール
72
すべてのサブジェクトとオブジェクトはラベル付けされる（オーナがラベル付け）
強制アクセス制御 (MAC)
73
自分が所有するオブジェクトへのアクセス権を誰に与えるかをオーナーが決定するアクセス制御システム
任意アクセス制御 (DAC)
74
最も脆弱性のアクセス制御の形
任意アクセス制御 (DAC)
75
ロールベースアクセス制御 (RBAC) を強制的に適用し、中央機関でポリシーを決定する
非任意アクセス制御 (NDAC)
76
職務や認可に応じて個別にロールを設定し、情報システムへのアクセスを許可されたユーザに限定する
ロールベースアクセス制御 (RBAC)
77
特権クループの削減が期待できる
ロールベースアクセス制御 (RBAC)
78
リソースにアクセスできるロールの決定は、データオーナーによって管理されるか、ポリシーに基づいて適用される。
ロールベースアクセス制御 (RBAC)
79
役割を管理するための仕組み（ディレクトリサービスなど）が必要
ロールベースアクセス制御 (RBAC
80
いつ、どこで、指定した条件で、システムが読み書き実行をシステムオーナーにより許可するかなどの粒度で管理するアクセス制御
ルールベースアクセス制御 (RuBAC)
81
ACLやケーパビリティテーブルで定義する
ルールベースアクセス制御 (RuBAC)
82
IPアドレスや特定の時間帯などでアクセスを制限する
ルールベースアクセス制御 (RuBAC)
83
ファイアウォールは、通過するすべてのトラフィックの制御
ルールベースアクセス制御 (RuBAC)
84
すべてのサブジェクトに適用されるルールを使用して許可を与える
ルールベースアクセス制御 (RuBAC)
85
アメリカにいるときはアクセスできるが、中国にいるときはアクセスできない
属性ベースアクセス制御 (ABAC)
86
接続先IPの地域が変わった際に追加の認証を求める
リスクベースアクセス制御
87
2要素認証を使用するようにしているシステムに構成する
リスクベースアクセス制御
88
割り当てられた職務やタスクを実行するために必要な最低限のレベルの権限を割り当てること
最小権限
89
知る必要のない情報にはアクセスできない
知る必要性
90
ロールやクリアランスのレベルを越えるアクセスを制限するプロセス
知る必要性
91
個人が信頼されたプロセスをすべて完了できてしまわないように制限するプロセス
職務と責任の分離
92
不正行為を防ぐために使用する
職務と責任の分離
93
リソースに近い人員にアクセス制御の権限を与えること
分散管理
94
IDとパスワードでアクセスしていくもの。（コンピュータ上で制御していくもの）
論理的アクセス制御システム (FICAM)
95
境界線にある特定の入り口を通る人や物の移動を管理する
物理的アクセス制御システム (PACS)
96
ログインユーザのアクセス権限によってインターフェースを制限すること
制限されたインターフェース
97
IDに関するすべての情報の集中的なリポジトリを提供する
IDストア
98
ドメインを超えて組織のID管理を統合すること
フェデレーションID管理 (FIM)
99
SAMLやOAuthなどを利用する
フェデレーションID管理 (FIM)
100
仲介サービスを行い、本人が誰であるか、名前は何かを主張する
IDプロバイダ (IdP)