ドメイン１の試験です。
70％以上で合格になります。
Results
すばらしい！
まだ見ていないコンテンツがあるかも。
#1. 私たちは、組織にいくつかの新しいスタンダードとフレームワークを実装しています。実装しているスタンダードの1つでスコーピングを行うことにしました。それはどういった作業になりますか。
スコーピングは、標準のどの部分を組織に展開するかを決定します。要望または業界に適用される標準を選択し、組織範囲内にあるものと範囲外にあるものを決定します。
#2. セキュリティ策の基本的な考え方である多層防御の意味として近いものはどれでしょうか。
多層防御（Defense-in-Depth）とは、守るときには一枚岩ではなく、何重にもあらゆる面で保護すべきという考え方です。一つの脆弱性に対して、何段階も防御することが求められているため、”段階的”なという言葉が選択肢の中では近いものと言えます。
「近いのはどれか？」と聞かれておりより良い選択肢を選ぶことが求められているため、「どれでもない」という回答は正解から除外してもいいでしょう。
#3. セキュリティリスクを分析する目的で作成されたものではない公式リスク手法はどれでしょうか。
〇：AS / NZS 4360
AS / NZS 4360はセキュリティリスクの分析に使用できますが、その目的のために作成されたものではありません。それは、IT脅威と情報セキュリティリスクに焦点を絞ったNISTやOCTAVEなど、他のリスク評価手法よりもリスク管理にはかなり広いアプローチを取ります。 AS / NZS 4360は、会社の財務、資本、人的安全、およびビジネス上の意思決定のリスクを理解するために使用できます。
×：FAP
正式なFAPリスク分析手法がないため、正しくありません。
×：OCTAVE
ITの脅威と情報セキュリティのリスクに重点を置いているため、画像Bは正しくありません。 OCTAVEは、組織内の情報セキュリティのリスク評価を管理し、指示する状況で使用するためのものです。組織の従業員には、セキュリティを評価するための最良の方法を決定する権限が与えられます。
×：NIST SP 800-30
IT脅威に固有であり情報脅威にどのように関連しているかという理由で、間違っています。主にシステムに焦点を当てています。データは、ネットワークおよびセキュリティプラクティスの評価や組織内の人々から収集されます。データは、800-30文書で概説したリスク分析ステップの入力値として使用されます。
#4. 金銭を得る動機の攻撃ではないだろうと考えられるものはどれですか？
分散型サービス停止（DDoS）攻撃は通常、攻撃者に金銭的な利益をもたらしません。多くの場合、復讐や組織の方針決定に同意しなかったり、攻撃者が組織に対する反感の大きさを証明したりする動機です。確かに、従量課金のクラウドサービスに対して、大量のアクセスをすることで想定以上のリソースを消費させ、コストを肥大化させる目的で利用されることもありますが、当事者の金銭的の目的ではないという点で、誤りになります。
#5. 国内法を調整し捜査技術と国際協力を改善することにより、コンピュータ犯罪に対処するための最初の国際条約はどれですか？
〇：欧州協議会サイバー犯罪条約
サイバー犯罪に関する欧州評議会（CoE）条約は、サイバー犯罪に対する標準的な国際的対応を作成する試みの一例です。これは、国内法を調整し、捜査技術と国際協力を改善することにより、コンピュータ犯罪に対処する最初の国際条約です。条約の目的は、被告人の管轄と犯罪の犯人を拘束するための枠組みの作成を含む。例えば、事件が両国の犯罪である場合にのみ引渡しが可能です。
おそらくこのような条約はご存じなかったかと思います。ですが、”条約”と聞かれているわけですから選択肢から条約を選びましょう。知らない選択肢が出た場合に、正式名に条約と付かないものとして制定されている可能性や条約を制定した組織も含めた回答をしたくなりますが、この単語を知らないという事実は変わりません。細かな定義の比較ではなく概ねの回答で処理しておくべき問題もあります。
×：サイバー犯罪に関する世界大会評議会
サイバー犯罪に関する世界大会評議会は、誤解を招くので間違っています。この条約の正式名称は欧州理事会のサイバー犯罪条約である。これは、サイバー犯罪に対する包括的な法律を制定し、この条約の締約国間の国際協力の枠組みとして、あらゆる国の指針となります。
×：経済協力開発機構（OECD）
経済協力開発機構（OECD）は、異なる政府が集まり、グローバル化された経済の経済的、社会的、ガバナンスの課題に取り組むのに役立つ国際的な組織であるため、イメージCは間違っています。このため、OECDは、データが適切に保護され、誰もが同じ種類のルールを遵守するように、各国のガイドラインを策定しました。
×：サイバー犯罪の協力と開発のための組織
サイバー犯罪の協力と開発のための組織は誤った答えです。この名前の正式な実体はありません。
#6. 資産価値を評価する際に、いくつかの算出方法があります。次のうち資産の価値を判断するために使用されないものはどれですか？
〇：資産をカバーするために必要な保険の水準
使用されないものを選ぶ問題です。資産価値（AV、Asset Value）の算出方法にはいくつかあり、市場で似た資産を参考にするマーケットアプローチ、将来的に稼ぐであろう利益で計る収益アプローチ、資産に使ったコストで計るコストアプローチになります。資産をカバーするために必要な保険の水準というのは、資産価値を特定し適切なリスク分析を行ったうえで行われる意思決定で、組織はその資産を購入する保険範囲のレベルをより簡単に判断できます。よって正解は、「資産をカバーするために必要な保険の水準」になります。
×：外部市場における資産の価値
市場で似た資産を参考にする手法は、マーケットアプローチとして知られています。
×：資産の購入、ライセンス供与、およびサポートの初期費用と出費
資産に使ったコストで計る手法としては、コストアプローチとして知られています。
×：組織の生産業務に対する資産価値
将来的に稼ぐであろう利益で計る手法としては、収益アプローチとして知られています。
#7. 著作権を保護するためのアクセス制御手段を侵害しようとする技術など犯罪とする米国の著作権法は次のどれですか？
〇：デジタルミレニアム著作権法
デジタルミレニアム著作権法（Digital Millennium Copyright Act：DMCA）は、著作権物を保護するために設けられたアクセス制御手段を侵害する技術などを犯罪とする米国の著作権法です。よって正解は、「デジタルミレニアム著作権法」になります。
電子書籍を保護する独自の方法を「ロック解除」する方法を見つけたら、この行為を請求することができます。実際の著作権で保護された書籍を誰かと共有しなくても特定の法律は破られており、有罪判決が下されます。
×：COPPA
児童オンラインプライバシー保護法（Children’s Online Privacy Protection Act、COPPA）とは、インターネット上で安全に子どもサイト向けを使えるように、もし何の規約もなしに子どもたちを危機にさらすことを禁止する法律です。
×：連邦プライバシー法
そのような法律はありませんが、近いところで米国連邦データプライバシー法があります。これは、米国の連邦レベルでの包括的な個人情報保護法になります。
×：GDPR
一般データ保護規則（GDPR）とは、データ保護指令をより厳しくしたEU市民のプライバシー法です。
#8. HITECH法において必ずしも対象とならない人はだれでしょうか。
HIPAA適用事業者とそのビジネスを補佐する組織や個人に関しても、HIPAAの対象事業者と同じように扱われます。ヘルスケアの提供者、健康情報クリアリングハウス、健康保険計画者などが対象者になります。健康アプリの開発者は、身体情報の保持者もしくは計画をするのではなく、プログラマーとしての責務を負います。身体情報の管理の在り方を中心とするHITECHの対象とならない場合があります。よって正解は、「健康系アプリ開発者」になります。
詳細なHITECHの要件を知っておく必要はありません。情報を扱っているかどうかで選択肢を比較し、消去法で回答することができます。開発者の大きな過失が利用者に影響してしまう可能性を想像し、HITECHのような法律に低触と考えたかもしれませんが、ここでは役割においての責任を質問されています。イレギュラーなケースを考えるのではなく、原則として役割に対する責任で問題を見るべきです。
#9. CIAトライアドの頭文字でないものはどれでしょうか？
CIAは、機密性・完全性・可用性の略です。
#10. 情報セキュリティの概念上、プライバシー情報と言い切れないものはどれでしょうか。
各学校の管理によって任せられる学生番号は個人を特定するに十分な情報とは言えないため、プライバシー情報と言い切れません。
#11. Alice は小さなオンライン小売会社を経営しており、顧客の多くは米国の人達です。現在は、ブロックチェーンベースの決済のみ受け付けていますが、クレジットカードの利用も検討しているそうで す。PCI DSS(Payment Card Industry Data Security Standard)の要件を調査した結果、彼女 はコンプライアンスのコストが収益の増加を上回ると判断しました。この決断を最もよく表しているのは、次のうちどれでしょうか。
これは、リスク回避の典型的な例です。シニアマネジメントは、報酬がリスクに見合わないため、そ の事業が戦略的目標に適合しないと判断したのです。
また、この回答はCISSPらしいといえるでしょう。セキュリティリスクに対してすべて対応するのではなく企業目標を達成するための最低限のレベルを確保するものであり、コストメリットが無ければ否定します。
#12. 特定のセキュリティ管理策を実施すべきかどうかを最終決定する際に、最も適切な手法はどれですか？
〇：費用便益分析
許容範囲内でリスクを低減するためにコントロールを設置することを要求するために、リスクが現実的で十分に可能性があり、十分にインパクトがあると識別される対策を選択する必要があります。可能な対策のコストと便益を分析するだけで、どのような対策を取るべきかを決定することができます。
×：リスク分析
リスクの決定が、許容可能な閾値内でリスクを制御するために必要とされる可能性があることを特定する最初のステップに過ぎないため、誤りです。
×：ALEの算出
年間予想損失額（ALE）は、特定の脅威が実際になった場合に失う可能性があることを会社に知らせるためのものです。ALEの価値は費用対効果の分析に入りますが、ALEは対抗措置の費用と対策のメリットに対処していません。
×：リスクを引き起こす脆弱性と脅威の特定
脆弱性や脅威の評価が対策の必要性を認識させているにもかかわらず、その評価だけでは競合する対策の中でどのようなコスト効果が見込まれているのか判断できないため正しくありません。
#13. 米国のHIPAA法には3つのコアルールがあります。次のうち、コアルールではないものはどれですか？
HIPAA（医療保険の相互運用性と説明責任に関する法律）には、プライバシールール、セキュリティルール、違反通知ルールの3つのルールがあります。この規則は、管理上、物理的、および技術的な保護手段を義務付けています。
#14. セキュリティガバナンスプログラムを実施している会社の特徴ではないものはどれですか？
〇：すべてのセキュリティ活動はセキュリティ部門内で実施
すべてのセキュリティ活動がセキュリティ部門内で行われる場合、セキュリティはサイロ内で機能し、組織全体に統合されません。セキュリティガバナンスプログラムを導入している企業では、経営幹部から指揮系統まで、組織全体にセキュリティの責任が浸透しています。一般的なシナリオは、特定の事業部門のリスク管理活動を担当する事業部長を執行する経営幹部の管理です。さらに、従業員は悪意のあるもしくは偶発的に発生しているセキュリティ違反に対して責任を負います。
×：役員は同社のセキュリティ状態について四半期ごとに更新
正しくありません。セキュリティガバナンスとは、戦略指針を提供し、目標が達成されていることを確認し、リスクが適切に管理されていることを確認し、リソースは責任を持って使用されます。セキュリティガバナンスプログラムを導入している組織には、セキュリティの重要性を理解し、組織のセキュリティパフォーマンスと違反を認識している取締役会があります。
×：セキュリティ製品、サービス、およびコンサルタントは情報に基づいた方法で展開
セキュリティガバナンスは、製品、人材、トレーニング、プロセスなどを含む統合セキュリティコンポーネントの一貫したシステムであるため、正しくありません。したがって、セキュリティガバナンスプログラムを導入している組織は、セキュリティ製品、管理サービス、情報に基づいた方法でコンサルタントを支援します。彼らはまた、彼らがコスト効果があることを確認するために絶えず見直されています。
×：組織はセキュリティを向上させるための指標と目標を確立
セキュリティガバナンスが性能測定および監督の仕組みを必要とするため不正確である。セキュリティガバナンスプログラムを導入している組織は、継続的な改善を目標として、セキュリティを含むプロセスを継続的に見直しています。一方、セキュリティガバナンスプログラムを欠いている組織は、そのパフォーマンスを分析せずに進んでいく可能性があり、したがって同様のミスが繰り返されます。
#15. 可用性に関係する攻撃はどれでしょうか？
〇：DDoS攻撃
可用性とは、サービスの継続性を示すCIAトライアドの性質の一つです。サービスの継続性を脅かす攻撃は、大量のリクエストを送付し、サービスダウンを行うDDoS攻撃が該当します。よって正解は、「DDoS攻撃」になります。
×：ホエーリング
ホエーリングとは、社会的に認知されている人・組織に狙いを定めるスピア・フィッシング攻撃です。
×：TOC/TOU
TOC/TOUとは、ある条件をチェックしてから、そのチェック結果を使用するまでの間にシステムが変更されることで発生するソフトウェアのバグです。多くの場合、ファイルを探してからファイルを読む間に別のファイルに差し替えてしまう攻撃です。
×：DRAM
RAM（Random Access Memory）とは、CPUや画面表示などに利用するときに使うメモリです。DRAMとは、短時間しか保存されないし、定期的リフレッシュが必要なRAMです。
#16. 会社のCISOとして、ジョージは強力なリスク管理プログラムの必要性を理事会に示す必要があります。ジョージは、会社の残存リスクを計算するために、次のうちどれを使用すべきですか？
全体的なリスクを許容レベルまで減らすための対策が実施されている。しかし、システムや環境は100％安全ではなく、すべての対策でリスクが残っています。対策後の残存リスクを残存リスクといいます。残留リスクはトータルリスクとは異なります。トータルリスクとは、対策を実施しない場合のリスクです。脅威×脆弱性×資産価値=総リスクを計算することによって総リスクを決定することができるが、残留リスクは、（脅威×脆弱性×資産価値）×コントロールギャップ=残存リスクを計算することによって決定することができます。コントロールギャップは、コントロールが提供できない保護の量です。
#17. 組織がEUの一般データ保護規則に準拠するよう裁判所に命じられました。しなければならないことの1つは何ですか？
EU一般データ保護規則とは、非常に積極的なプライバシー保護法です。組織は、データがどのように収集および使用されるかを個人に通知する必要があります。組織は、サードパーティとのデータ共有をオプトアウトできるようにする必要があります。最も機密性の高いデータを共有するにはオプトインが必要です。受領国が適切な（同等の）プライバシー保護を持っていると認められない限り、EUからの送信はありません。
#18. リーは自社が欧州のパートナーと交流しているときに、自社がプライバシーに関する欧州連合原則に準拠していることを保証する役割を担う新しいセキュリティマネージャーです。プライベートと見なされるデータの送信を扱う一連の原則は、以下の法律または規制のいずれに含まれていますか？
〇：一般データ保護規則（GDPR）
多くの場合、欧州連合（EU）は世界の他のほとんどの国よりも個人のプライバシーをより真剣に受け止めるため、個人情報保護に関する欧州連合原則に基づく個人情報とみなされるデータに関する厳しい法律を遵守します。この一連の原則は、本質的に私的であると考えられる情報を使用して伝達することに取り組んでいます。これらの原則とその遵守方法は、EUの一般データ保護規則（GDPR）に含まれています。欧州のすべての州は、これらの原則を遵守しなければなりません。EU企業とビジネスを行うすべての企業は、プライバシ・タイプのデータの交換を含むビジネスであれば、この一般データ保護規則（GDPR）に従わなければなりません。
×：経済協力開発機構（OECD）
経済協力開発機構（OECD）は、異なる政府が集まり、グローバル化した経済の経済的、社会的、ガバナンスの課題に取り組むのに役立つ国際機関であるため、イメージBは間違っています。このため、OECDは、データが適切に保護され、誰もが同じ種類のルールを遵守するように、各国のガイドラインを策定しました。
×：連邦民間法案
連邦民間法案は、間違っています。この名前の公式な法案はありません。
×：プライバシー保護法
プライバシー保護法は、誤った答えです。この名前の公式な法案はありません。
#19. セキュリティの観点からマーケティング指標を測る意味はあるだろうか。
〇：ある。企業目標を達成するのにセキュリティがあるため同一の目標を持つべきだ。
組織目標を達成する指標として、KPIなどのマーケティン指標がある。組織にセキュリティ機能を整備することも、これらの目標を達成するための存在する。
×：ある。セキュリティ業界のマーケティングはリスクオフが認められる。
「セキュリティ業界におけるマーケティング」では、組織としてセキュリティ機能を整える意味ではない。
×：ない。分業体制を徹底し専門家に任せるべきだ。
確かに組織の分業は大事ですが、組織のすべての構成員がセキュリティを意識する必要があります。
×：ない。役員判断となるような機密情報はセキュリティと無関係だ。
セキュリティは組織全体で取り組むべきものです。関係ないとは言えません。
#20. 年間予想損失額（ALE）の計算式として正しいものはどれでしょうか。
年間予想損失額は、将来発生しうる損失に対して、発生頻度から年間で均した値です。そのため、単一損失額（SLE）と年間発生頻度（ALO）を乗じた値になります。
