HIPAA（医療保険の相互運用性と説明責任に関する法律）には、プライバシールール、セキュリティルール、違反通知ルールの3つのルールがあります。この規則は、管理上、物理的、および技術的な保護手段を義務付けています。

〇：日常的に稼働し、取得しているシステムログ

不正アクセスであるかどうかは、一般的な使い方と異なることを示す必要があります。また、日常的に取得していないログに関して法的証拠としての信頼性も薄くなります。

×：国際基準に準拠している洗練された製品から得られるシステムログ

マーケット的に洗練されているか否かは、法廷証拠の要件ではありません。逆に言えば、自社開発のソフトウェアが法的証拠に使えないというのは考えにくいでしょう。

×：印刷し物理媒体として保管されているシステムログ

ログが印刷されているか否かは必ずしも法的要件とはなりません。ソフトウェアとしての記録が出力されるわけですから、物理的な証拠としての純粋さはないのです。

×：OS層において記録される基盤に近いシステムログ

OS層に近いログはシステム的なトレーサビリティも高まりますが、ユーザー操作との関連性も薄く、不正アクセスの証拠には向きません。

〇：リスク軽減

リスクは、移転、回避、軽減、受入の4つの基本的な方法で対処できます。スーは、ウイルス対策ソフトウェアやスパム対策ソフトウェアなどのセキュリティコントロールを実装することで、自社の電子メールシステムがもたらすリスクを削減しています。これは、リスク軽減とも呼ばれ、リスクは許容可能と見なされるレベルまで減少します。手順を改善し、環境を変え、脅威に対する障壁を立て、脅威が発生したときにその脅威を阻止して被害を減らすための早期発見手法を導入することで、リスクを軽減することができます。

×：リスク受入

リスク受入がアンチウィルスソフトウェアなどの保護や対策に支出を伴わないため不適切です。リスクを受け入れる際には、直面しているリスクのレベルと潜在的な損害コストを把握し、対策を実施することなくそれを維持することを決定します。コスト/利益比率が、対策費用が潜在的な損失額を上回っていることを示している場合、多くの企業はリスクを受け入れます。

×：リスク回避

リスクを引き起こしている活動を中止することになるため、間違っています。この場合、スーの会社は引き続きEメールを使用することに決めました。企業がそのリスクがアクティビティのビジネスニーズを上回る場合、リスクを導入するアクティビティを終了することを選択することがあります。たとえば、企業は従業員の生産性に与えるリスクのため、ソーシャルメディアのWebサイトを一部の部門でブロックすることを選択することがあります。

×：リスク移転

リスクの一部を保険会社に移転するために保険購入のように他のエンティティとリスクを共有することを伴うため、正しくない。多くの種類の保険は、企業が資産を保護するために利用できます。会社が総リスクまたは余剰リスクが高すぎて賭けができないと判断した場合、保険を購入することができます。

〇：無権限のエンティティと共有するデータの抽出

関係のないものを選ぶ問題です。無許可のエンティティと共有するデータの抽出は、機密性の問題です。ややこしい言い方をしていますが、データに対する操作は無許可と抽出であり、完全性の主とするデータの破壊はいずれも含まれていません。よって正解は、「無権限のエンティティと共有するデータの抽出」になります。

この問題を解く上で、エンティティが何かを知っておく必要はありません。変更や破壊は行われているかどうかに注目します。

×：データに対する不正な操作または変更

間違いです。なぜなら、完全性は、許可されていない操作またはデータの変更に関連するからである。無断改変が防止されると、完全性が維持されます。ハードウェア、ソフトウェア、および通信の仕組みは、データを正しく維持および処理し、予期せぬ変更なしに意図した宛先にデータを移動するために連携して動作する必要があります。システムとネットワークは、外部の干渉や汚染から保護する必要があります。

×：許可なくデータを変更する

権限のないデータの変更が整合性に関連するため、間違いです。整合性とは、データを保護することであり、ユーザーや権限を持たない他のシステムによって変更することはできません。

×：意図的または偶発的なデータの置換

意図的または偶発的なデータの置換が整合性に関連するため、正しくありません。データが不正なエンティティによって改ざんされないという保証とともに、情報およびシステムの正確性および信頼性の保証が提供される場合、完全性が維持されます。完全性を強制する環境では、例えば、ウイルス、ロジックボム、バックドアをデータを破損または置換する可能性のあるシステムに挿入するなどの攻撃を防ぎます。ユーザーは通常、間違ってシステムやそのデータの整合性に影響を与えます（内部ユーザーは悪意のある行為も行う可能性があります）。たとえば、データ処理アプリケーションに誤った値を挿入して、300ドルではなく3,000ドルを顧客に請求することがあります。

〇：一般データ保護規則（GDPR）

多くの場合、欧州連合（EU）は世界の他のほとんどの国よりも個人のプライバシーをより真剣に受け止めるため、個人情報保護に関する欧州連合原則に基づく個人情報とみなされるデータに関する厳しい法律を遵守します。この一連の原則は、本質的に私的であると考えられる情報を使用して伝達することに取り組んでいます。これらの原則とその遵守方法は、EUの一般データ保護規則（GDPR）に含まれています。欧州のすべての州は、これらの原則を遵守しなければなりません。EU企業とビジネスを行うすべての企業は、プライバシ・タイプのデータの交換を含むビジネスであれば、この一般データ保護規則（GDPR）に従わなければなりません。

×：経済協力開発機構（OECD）

経済協力開発機構（OECD）は、異なる政府が集まり、グローバル化した経済の経済的、社会的、ガバナンスの課題に取り組むのに役立つ国際機関であるため、イメージBは間違っています。このため、OECDは、データが適切に保護され、誰もが同じ種類のルールを遵守するように、各国のガイドラインを策定しました。

×：連邦民間法案

連邦民間法案は、間違っています。この名前の公式な法案はありません。

×：プライバシー保護法

プライバシー保護法は、誤った答えです。この名前の公式な法案はありません。

脅威が少なくとも、脆弱性が致命的なものであれば、多大な影響つまりリスクとなります。そのため、四則演算の関係で最もよく示したのは乗数（×）になります。

〇：トロイの木馬

トロイの木馬とは、伝染するとき一見無害そうに見えるマルウェアです。いやらしい画像をダウンロードしたら、急にパソコンが立ち上がらなくなったとかありますでしょうか。

×：スパイウェア

スパイウェアとは、悪さするとき一見無害そうにするマルウェアです。こっそりパソコンの情報を外に持ち出します。

×：ウイルス

ウイルスとは、ユーザの操作なしに伝染し、他のプログラムにくっつくマルウェアです。無害そうに見えますが、アプリケーションをダウンロードという点で一致しません。

×：データディドラー

データディドラーとは、時間経過とともに少しずつデータを変更するマルウェアです。

〇：デジタルミレニアム著作権法

デジタルミレニアム著作権法（Digital Millennium Copyright Act：DMCA）は、著作権物を保護するために設けられたアクセス制御手段を侵害する技術などを犯罪とする米国の著作権法です。よって正解は、「デジタルミレニアム著作権法」になります。

電子書籍を保護する独自の方法を「ロック解除」する方法を見つけたら、この行為を請求することができます。実際の著作権で保護された書籍を誰かと共有しなくても特定の法律は破られており、有罪判決が下されます。

×：COPPA

児童オンラインプライバシー保護法（Children’s Online Privacy Protection Act、COPPA）とは、インターネット上で安全に子どもサイト向けを使えるように、もし何の規約もなしに子どもたちを危機にさらすことを禁止する法律です。

×：連邦プライバシー法

そのような法律はありませんが、近いところで米国連邦データプライバシー法があります。これは、米国の連邦レベルでの包括的な個人情報保護法になります。

×：GDPR

一般データ保護規則（GDPR）とは、データ保護指令をより厳しくしたEU市民のプライバシー法です。

年間予想損失額は、将来発生しうる損失に対して、発生頻度から年間で均した値です。そのため、単一損失額（SLE）と年間発生頻度（ALO）を乗じた値になります。

(ISC)2の倫理規約における規範は以下の通りです。

• 社会、公益、公共から求められる信頼と信用、インフラを守る。
• 法律に違わず、公正かつ誠実に責任を持って行動する。
• 原則に基づき、優れたサービスを提供する。
• 専門性を高め、維持する。

よって正解は、「上記すべて」になります。

〇：ある。企業目標を達成するのにセキュリティがあるため同一の目標を持つべきだ。

組織目標を達成する指標として、KPIなどのマーケティン指標がある。組織にセキュリティ機能を整備することも、これらの目標を達成するための存在する。

×：ある。セキュリティ業界のマーケティングはリスクオフが認められる。

「セキュリティ業界におけるマーケティング」では、組織としてセキュリティ機能を整える意味ではない。

×：ない。分業体制を徹底し専門家に任せるべきだ。

確かに組織の分業は大事ですが、組織のすべての構成員がセキュリティを意識する必要があります。

×：ない。役員判断となるような機密情報はセキュリティと無関係だ。

セキュリティは組織全体で取り組むべきものです。関係ないとは言えません。

〇：費用便益分析

許容範囲内でリスクを低減するためにコントロールを設置することを要求するために、リスクが現実的で十分に可能性があり、十分にインパクトがあると識別される対策を選択する必要があります。可能な対策のコストと便益を分析するだけで、どのような対策を取るべきかを決定することができます。

×：リスク分析

リスクの決定が、許容可能な閾値内でリスクを制御するために必要とされる可能性があることを特定する最初のステップに過ぎないため、誤りです。

×：ALEの算出

年間予想損失額（ALE）は、特定の脅威が実際になった場合に失う可能性があることを会社に知らせるためのものです。ALEの価値は費用対効果の分析に入りますが、ALEは対抗措置の費用と対策のメリットに対処していません。

×：リスクを引き起こす脆弱性と脅威の特定

脆弱性や脅威の評価が対策の必要性を認識させているにもかかわらず、その評価だけでは競合​​する対策の中でどのようなコスト効果が見込まれているのか判断できないため正しくありません。

各学校の管理によって任せられる学生番号は個人を特定するに十分な情報とは言えないため、プライバシー情報と言い切れません。

全体的なリスクを許容レベルまで減らすための対策が実施されている。しかし、システムや環境は100％安全ではなく、すべての対策でリスクが残っています。対策後の残存リスクを残存リスクといいます。残留リスクはトータルリスクとは異なります。トータルリスクとは、対策を実施しない場合のリスクです。脅威×脆弱性×資産価値=総リスクを計算することによって総リスクを決定することができるが、残留リスクは、（脅威×脆弱性×資産価値）×コントロールギャップ=残存リスクを計算することによって決定することができます。コントロールギャップは、コントロールが提供できない保護の量です。

〇：従業員のセキュリティ意識が変わるような定期的な教育

行動指示型とは、組織的管理として従業員に求められる行動を指示する目的のコントロールです。従業員の意識が変わるような定期的な教育は、行動指示型に該当します。よって正解は、「従業員のセキュリティ意識が変わるような定期的な教育」になります。

×：ドローン監査を利用した遠隔的に指示する防御策

補強的（compensating）な防御策に当たります。

×：物理的な壁による行動心理的な障害とする防御策

物理的（physically）な防御策に当たります。

×：あるアクションを見直す再発防止策の立案

是正的（corrective）な防御策に当たります。

業務受託会社監査（SOC、Service Organization Control）とは、米国公認会計士協会（AICPA）によって決められている業務の請け負い側の内部統制を保証するための決まりです。業務をほかの会社に請け負ってもらうことがあります。自社の仕事の品質を担保するため、業務を依頼された側の企業でも相応に統制されている必要があります。そのため、業務を依頼される受託会社の内部統制をチェックするわけです。

• SOC-1（Internal Control over Financial Reporting (ICFR)） 受託会社に対する会計を監査する。
• SOC-2（Trust Services Criteria） 受託会社に対する会計以外のセキュリティなどの統制を確認する。通常6か月間調査を行う。
• SOC-3（Trust Services Criteria for General Use Report） 不特定者（利用者）に対する会計以外のセキュリティなどの統制を確認する。

よって、正解は「6か月」になります。

〇：リスクをもたらす活動の中止

含まれていないものを選ぶ問題です。リスクを導入する活動を中止することは、回避によってリスクに対応する方法です。たとえば、企業内でのインスタントメッセージング（IM）の使用を取り巻く多くのリスクがあります。企業がIMの使用を許可しないことをビジネス上の必要性がないために決定した場合、このサービスを禁止することはリスク回避の一例です。リスクアセスメントには、このような対策の実施は含まれていません。よって正解は、「リスクをもたらす活動の中止」になります。

×：資産の特定

アセットを特定することがリスクアセスメントの一部であり、リスクアセスメントに含まれないものを特定することを求められているため、誤りである。資産の価値を判断するには、まずその資産を特定しなければなりません。資産の識別と評価も、リスク管理の重要な任務です。

×：脅威の特定

脅威を特定することはリスクアセスメントの一部であり、リスクアセスメントに含まれないものを特定することが求められるため、正しくありません。脅威が脆弱性を悪用する可能性があるため、リスクが存在します。脅威がなければ、リスクはありません。リスクは、脆弱性、脅威、および結果として生じるビジネスへの悪用の可能性を結び付けます。

×：コストまたは臨界の順にリスク分析

コストまたは臨界の順にリスクを分析することがリスクアセスメントプロセスの一部であり、リスクアセスメントに含まれていないものを特定するために質問されるため不適切です。リスクアセスメントは、企業が直面するリスクを調査し定量化します。リスクに対処するには、費用対効果の高い方法で対応する必要があります。リスクの重大性を知ることで、組織はそれを効果的に対処する方法を決定できます。

〇：ISO / IEC 27005―情報セキュリティ管理システムの監査と認証を提供する機関のガイドライン

ISO / IEC 27005は、情報セキュリティリスク管理のガイドラインであり、ISMSの枠組みにおいてリスク管理をどのように実施すべきかについての国際標準です。

×：ISO / IEC 27002―情報セキュリティ管理の実践規範

情報セキュリティ管理の実践のためのコードなので正しくありません。従って、それは正しいマッピングを有する。 ISO / IEC 27002は、ISMSの開始、実装、または保守に関するベストプラクティスの推奨事項とガイドラインを提供します。

×：ISO / IEC 27003―ISMS実施のガイドライン

ISO / IEC 27003は、ISO / IEC 27001：2005に従ってISMSの設計と実装を成功させるために必要な重要な側面に焦点を当てています。 ISMSの仕様と設計プロセスの開始から実装計画の作成までを記述しています。

×：ISO / IEC 27004―情報セキュリティ管理測定およびメトリクスフレームワークのガイドライン

ISO / IEC 27004は、情報セキュリティ管理測定およびメトリクスフレームワークのガイドラインです。 ISO / IEC 27001に規定されているように、ISMSおよび統制や統制のグループの有効性を評価するために、尺度の開発と使用に関するガイダンスを提供します。

EU一般データ保護規則とは、非常に積極的なプライバシー保護法です。組織は、データがどのように収集および使用されるかを個人に通知する必要があります。組織は、サードパーティとのデータ共有をオプトアウトできるようにする必要があります。最も機密性の高いデータを共有するにはオプトインが必要です。受領国が適切な（同等の）プライバシー保護を持っていると認められない限り、EUからの送信はありません。

〇：リスク分析を実施します。

記載された手順の中で、効果的な物理的なセキュリティプログラムを展開するのみ実施する初めの手順は、脆弱性や脅威を識別し、各脅威のビジネスへの影響を計算するために、リスク分析を行うことです。チームは経営者にリスク分析の結果を提示し、物理的なセキュリティプログラムのための許容可能なリスクレベルを定義するために、リスク分析をしています。そこから、チームが評価し、ベースラインが実装によって満たされているかどうかを判断していきます。チームがその対応策を特定し、対策を実装したら、パフォーマンスを継続的に評価します。これらのパフォーマンスは、設定されたベースラインと比較されます。ベースラインが継続的に維持されている場合は、同社の許容可能なリスクレベルを超えていないため、セキュリティプログラムが成功しているといえます。

×：対策のパフォーマンスメトリックを作成します。  

対策のパフォーマンスメトリックを作成する手順は、物理的なセキュリティプログラムを作成するための最初のステップではないので、間違っています。パフォーマンスベースで監視されている場合、プログラムがどのように有益かつ効果的であるかを判定するために利用できます。組織の物理的なセキュリティの保護に投資するときにビジネス上の意思決定を行うための管理を可能にします。目標は、物理的なセキュリティプログラムの性能を向上させ、費用対効果の高い方法で会社のリスクを減少させることことにつながります。あなたは、パフォーマンスのベースラインを確立し、その後、継続的に企業の保護の目標が満たされていることを確認するために、パフォーマンスを評価する必要があります。可能なパフォーマンスメトリックの例としては、成功した攻撃の数、成功した攻撃の数、および攻撃のために要した時間を含みます。

×：設計プログラムを作成します。  

プログラムを設計することは、リスク分析の後に行われるべきであるので間違っています。リスクのレベルを理解したら、次に設計フェーズは、リスク分析で識別された脅威から保護するために行うことができます。抑止、遅延、検出、評価、応答の設計は、プログラムの各カテゴリのために必要なコントロールを組み込むでしょう。

×：対策を実装します。  

対策を実施することは物理的なセキュリティプログラムを展開プロセスの最後のステップの1つですので、間違っています。