〇：欧州協議会サイバー犯罪条約

サイバー犯罪に関する欧州評議会（CoE）条約は、サイバー犯罪に対する標準的な国際的対応を作成する試みの一例です。これは、国内法を調整し、捜査技術と国際協力を改善することにより、コンピュータ犯罪に対処する最初の国際条約です。条約の目的は、被告人の管轄と犯罪の犯人を拘束するための枠組みの作成を含む。例えば、事件が両国の犯罪である場合にのみ引渡しが可能です。

おそらくこのような条約はご存じなかったかと思います。ですが、”条約”と聞かれているわけですから選択肢から条約を選びましょう。知らない選択肢が出た場合に、正式名に条約と付かないものとして制定されている可能性や条約を制定した組織も含めた回答をしたくなりますが、この単語を知らないという事実は変わりません。細かな定義の比較ではなく概ねの回答で処理しておくべき問題もあります。

×：サイバー犯罪に関する世界大会評議会

サイバー犯罪に関する世界大会評議会は、誤解を招くので間違っています。この条約の正式名称は欧州理事会のサイバー犯罪条約である。これは、サイバー犯罪に対する包括的な法律を制定し、この条約の締約国間の国際協力の枠組みとして、あらゆる国の指針となります。

×：経済協力開発機構（OECD）

経済協力開発機構（OECD）は、異なる政府が集まり、グローバル化された経済の経済的、社会的、ガバナンスの課題に取り組むのに役立つ国際的な組織であるため、イメージCは間違っています。このため、OECDは、データが適切に保護され、誰もが同じ種類のルールを遵守するように、各国のガイドラインを策定しました。

×：サイバー犯罪の協力と開発のための組織

サイバー犯罪の協力と開発のための組織は誤った答えです。この名前の正式な実体はありません。

〇：DDoS攻撃

可用性とは、サービスの継続性を示すCIAトライアドの性質の一つです。サービスの継続性を脅かす攻撃は、大量のリクエストを送付し、サービスダウンを行うDDoS攻撃が該当します。よって正解は、「DDoS攻撃」になります。

×：ホエーリング

ホエーリングとは、社会的に認知されている人・組織に狙いを定めるスピア・フィッシング攻撃です。

×：TOC/TOU

TOC/TOUとは、ある条件をチェックしてから、そのチェック結果を使用するまでの間にシステムが変更されることで発生するソフトウェアのバグです。多くの場合、ファイルを探してからファイルを読む間に別のファイルに差し替えてしまう攻撃です。

×：DRAM

RAM（Random Access Memory）とは、CPUや画面表示などに利用するときに使うメモリです。DRAMとは、短時間しか保存されないし、定期的リフレッシュが必要なRAMです。

HIPAA適用事業者とそのビジネスを補佐する組織や個人に関しても、HIPAAの対象事業者と同じように扱われます。ヘルスケアの提供者、健康情報クリアリングハウス、健康保険計画者などが対象者になります。健康アプリの開発者は、身体情報の保持者もしくは計画をするのではなく、プログラマーとしての責務を負います。身体情報の管理の在り方を中心とするHITECHの対象とならない場合があります。よって正解は、「健康系アプリ開発者」になります。

詳細なHITECHの要件を知っておく必要はありません。情報を扱っているかどうかで選択肢を比較し、消去法で回答することができます。開発者の大きな過失が利用者に影響してしまう可能性を想像し、HITECHのような法律に低触と考えたかもしれませんが、ここでは役割においての責任を質問されています。イレギュラーなケースを考えるのではなく、原則として役割に対する責任で問題を見るべきです。

〇：一般データ保護規則（GDPR）

多くの場合、欧州連合（EU）は世界の他のほとんどの国よりも個人のプライバシーをより真剣に受け止めるため、個人情報保護に関する欧州連合原則に基づく個人情報とみなされるデータに関する厳しい法律を遵守します。この一連の原則は、本質的に私的であると考えられる情報を使用して伝達することに取り組んでいます。これらの原則とその遵守方法は、EUの一般データ保護規則（GDPR）に含まれています。欧州のすべての州は、これらの原則を遵守しなければなりません。EU企業とビジネスを行うすべての企業は、プライバシ・タイプのデータの交換を含むビジネスであれば、この一般データ保護規則（GDPR）に従わなければなりません。

×：経済協力開発機構（OECD）

経済協力開発機構（OECD）は、異なる政府が集まり、グローバル化した経済の経済的、社会的、ガバナンスの課題に取り組むのに役立つ国際機関であるため、イメージBは間違っています。このため、OECDは、データが適切に保護され、誰もが同じ種類のルールを遵守するように、各国のガイドラインを策定しました。

×：連邦民間法案

連邦民間法案は、間違っています。この名前の公式な法案はありません。

×：プライバシー保護法

プライバシー保護法は、誤った答えです。この名前の公式な法案はありません。

〇：すべてのセキュリティ活動はセキュリティ部門内で実施

すべてのセキュリティ活動がセキュリティ部門内で行われる場合、セキュリティはサイロ内で機能し、組織全体に統合されません。セキュリティガバナンスプログラムを導入している企業では、経営幹部から指揮系統まで、組織全体にセキュリティの責任が浸透しています。一般的なシナリオは、特定の事業部門のリスク管理活動を担当する事業部長を執行する経営幹部の管理です。さらに、従業員は悪意のあるもしくは偶発的に発生しているセキュリティ違反に対して責任を負います。

×：役員は同社のセキュリティ状態について四半期ごとに更新

正しくありません。セキュリティガバナンスとは、戦略指針を提供し、目標が達成されていることを確認し、リスクが適切に管理されていることを確認し、リソースは責任を持って使用されます。セキュリティガバナンスプログラムを導入している組織には、セキュリティの重要性を理解し、組織のセキュリティパフォーマンスと違反を認識している取締役会があります。

×：セキュリティ製品、サービス、およびコンサルタントは情報に基づいた方法で展開

セキュリティガバナンスは、製品、人材、トレーニング、プロセスなどを含む統合セキュリティコンポーネントの一貫したシステムであるため、正しくありません。したがって、セキュリティガバナンスプログラムを導入している組織は、セキュリティ製品、管理サービス、情報に基づいた方法でコンサルタントを支援します。彼らはまた、彼らがコスト効果があることを確認するために絶えず見直されています。

×：組織はセキュリティを向上させるための指標と目標を確立

セキュリティガバナンスが性能測定および監督の仕組みを必要とするため不正確である。セキュリティガバナンスプログラムを導入している組織は、継続的な改善を目標として、セキュリティを含むプロセスを継続的に見直しています。一方、セキュリティガバナンスプログラムを欠いている組織は、そのパフォーマンスを分析せずに進んでいく可能性があり、したがって同様のミスが繰り返されます。

〇：ある。企業目標を達成するのにセキュリティがあるため同一の目標を持つべきだ。

組織目標を達成する指標として、KPIなどのマーケティン指標がある。組織にセキュリティ機能を整備することも、これらの目標を達成するための存在する。

×：ある。セキュリティ業界のマーケティングはリスクオフが認められる。

「セキュリティ業界におけるマーケティング」では、組織としてセキュリティ機能を整える意味ではない。

×：ない。分業体制を徹底し専門家に任せるべきだ。

確かに組織の分業は大事ですが、組織のすべての構成員がセキュリティを意識する必要があります。

×：ない。役員判断となるような機密情報はセキュリティと無関係だ。

セキュリティは組織全体で取り組むべきものです。関係ないとは言えません。

〇：ハクティビスト

政治的な目的でクラッキング行為を行う人をハクティビストといいます。よって正解は、「ハクティビスト」になります。

×：ハッカー

ハッカーとは、コンピュータに詳しい人です。

×：スクリプトキディ

スクリプトキディとは、ITに詳しくないけどツールを使ってサイバー攻撃する人です。中学生という文言がありますが、これだけでスクリプトキディとは断定できません。

×：サイレントマジョリティ

サイレントマジョリティとは、積極的な発言行為をしない一般大衆のことです。

「倫理項目ではないもの」を選ぶ問題です。インターネットを使う者に対して、IAB（Internet Activities Board）によるインターネットの資源の正しい利用についての表明されています。

• インターネットの資源への認可されていないアクセスを得ようとすること。
• インターネットの意図された利用を混乱させること。
• そのような活動を通じて資源（人、能力およびコンピュータ）を無駄にすること。
• コンピュータベースの情報の完全性を破壊すること。
• ユーザーのプライバシーを侵すこと。

〇：日常的に稼働し、取得しているシステムログ

不正アクセスであるかどうかは、一般的な使い方と異なることを示す必要があります。また、日常的に取得していないログに関して法的証拠としての信頼性も薄くなります。

×：国際基準に準拠している洗練された製品から得られるシステムログ

マーケット的に洗練されているか否かは、法廷証拠の要件ではありません。逆に言えば、自社開発のソフトウェアが法的証拠に使えないというのは考えにくいでしょう。

×：印刷し物理媒体として保管されているシステムログ

ログが印刷されているか否かは必ずしも法的要件とはなりません。ソフトウェアとしての記録が出力されるわけですから、物理的な証拠としての純粋さはないのです。

×：OS層において記録される基盤に近いシステムログ

OS層に近いログはシステム的なトレーサビリティも高まりますが、ユーザー操作との関連性も薄く、不正アクセスの証拠には向きません。

年間予想損失額は、将来発生しうる損失に対して、発生頻度から年間で均した値です。そのため、単一損失額（SLE）と年間発生頻度（ALO）を乗じた値になります。

〇：トロイの木馬

トロイの木馬とは、伝染するとき一見無害そうに見えるマルウェアです。いやらしい画像をダウンロードしたら、急にパソコンが立ち上がらなくなったとかありますでしょうか。

×：スパイウェア

スパイウェアとは、悪さするとき一見無害そうにするマルウェアです。こっそりパソコンの情報を外に持ち出します。

×：ウイルス

ウイルスとは、ユーザの操作なしに伝染し、他のプログラムにくっつくマルウェアです。無害そうに見えますが、アプリケーションをダウンロードという点で一致しません。

×：データディドラー

データディドラーとは、時間経過とともに少しずつデータを変更するマルウェアです。

(ISC)2の倫理規約における規範は以下の通りです。

• 社会、公益、公共から求められる信頼と信用、インフラを守る。
• 法律に違わず、公正かつ誠実に責任を持って行動する。
• 原則に基づき、優れたサービスを提供する。
• 専門性を高め、維持する。

よって正解は、「上記すべて」になります。

多層防御（Defense-in-Depth）とは、守るときには一枚岩ではなく、何重にもあらゆる面で保護すべきという考え方です。一つの脆弱性に対して、何段階も防御することが求められているため、”段階的”なという言葉が選択肢の中では近いものと言えます。

「近いのはどれか？」と聞かれておりより良い選択肢を選ぶことが求められているため、「どれでもない」という回答は正解から除外してもいいでしょう。

〇：ソーシャルエンジニアリング

ソーシャルエンジニアリングとは、システムではなく人的ミスを誘う攻撃です。システムアーキテクチャ、インストールソフトウェアに関わらず発生します。

×：DDoS攻撃

DDoS攻撃は、DoS攻撃を対象のウェブサイトやサーバーに対して複数のコンピューターから大量に行うことです。

×：ランサムウェア

ランサムウェアとは、データを暗号化することで凍結し、持ち主に身代金を要求するマルウェアです。

×：ゼロデイ攻撃

ゼロディ攻撃とは、修正されるよりも前に公開された脆弱性を攻撃することです。

分散型サービス停止（DDoS）攻撃は通常、攻撃者に金銭的な利益をもたらしません。多くの場合、復讐や組織の方針決定に同意しなかったり、攻撃者が組織に対する反感の大きさを証明したりする動機です。確かに、従量課金のクラウドサービスに対して、大量のアクセスをすることで想定以上のリソースを消費させ、コストを肥大化させる目的で利用されることもありますが、当事者の金銭的の目的ではないという点で、誤りになります。

スコーピングは、標準のどの部分を組織に展開するかを決定します。要望または業界に適用される標準を選択し、組織範囲内にあるものと範囲外にあるものを決定します。

全体的なリスクを許容レベルまで減らすための対策が実施されている。しかし、システムや環境は100％安全ではなく、すべての対策でリスクが残っています。対策後の残存リスクを残存リスクといいます。残留リスクはトータルリスクとは異なります。トータルリスクとは、対策を実施しない場合のリスクです。脅威×脆弱性×資産価値=総リスクを計算することによって総リスクを決定することができるが、残留リスクは、（脅威×脆弱性×資産価値）×コントロールギャップ=残存リスクを計算することによって決定することができます。コントロールギャップは、コントロールが提供できない保護の量です。

〇：デジタルミレニアム著作権法

デジタルミレニアム著作権法（Digital Millennium Copyright Act：DMCA）は、著作権物を保護するために設けられたアクセス制御手段を侵害する技術などを犯罪とする米国の著作権法です。よって正解は、「デジタルミレニアム著作権法」になります。

電子書籍を保護する独自の方法を「ロック解除」する方法を見つけたら、この行為を請求することができます。実際の著作権で保護された書籍を誰かと共有しなくても特定の法律は破られており、有罪判決が下されます。

×：COPPA

児童オンラインプライバシー保護法（Children’s Online Privacy Protection Act、COPPA）とは、インターネット上で安全に子どもサイト向けを使えるように、もし何の規約もなしに子どもたちを危機にさらすことを禁止する法律です。

×：連邦プライバシー法

そのような法律はありませんが、近いところで米国連邦データプライバシー法があります。これは、米国の連邦レベルでの包括的な個人情報保護法になります。

×：GDPR

一般データ保護規則（GDPR）とは、データ保護指令をより厳しくしたEU市民のプライバシー法です。

〇：リスク分析を実施します。

記載された手順の中で、効果的な物理的なセキュリティプログラムを展開するのみ実施する初めの手順は、脆弱性や脅威を識別し、各脅威のビジネスへの影響を計算するために、リスク分析を行うことです。チームは経営者にリスク分析の結果を提示し、物理的なセキュリティプログラムのための許容可能なリスクレベルを定義するために、リスク分析をしています。そこから、チームが評価し、ベースラインが実装によって満たされているかどうかを判断していきます。チームがその対応策を特定し、対策を実装したら、パフォーマンスを継続的に評価します。これらのパフォーマンスは、設定されたベースラインと比較されます。ベースラインが継続的に維持されている場合は、同社の許容可能なリスクレベルを超えていないため、セキュリティプログラムが成功しているといえます。

×：対策のパフォーマンスメトリックを作成します。  

対策のパフォーマンスメトリックを作成する手順は、物理的なセキュリティプログラムを作成するための最初のステップではないので、間違っています。パフォーマンスベースで監視されている場合、プログラムがどのように有益かつ効果的であるかを判定するために利用できます。組織の物理的なセキュリティの保護に投資するときにビジネス上の意思決定を行うための管理を可能にします。目標は、物理的なセキュリティプログラムの性能を向上させ、費用対効果の高い方法で会社のリスクを減少させることことにつながります。あなたは、パフォーマンスのベースラインを確立し、その後、継続的に企業の保護の目標が満たされていることを確認するために、パフォーマンスを評価する必要があります。可能なパフォーマンスメトリックの例としては、成功した攻撃の数、成功した攻撃の数、および攻撃のために要した時間を含みます。

×：設計プログラムを作成します。  

プログラムを設計することは、リスク分析の後に行われるべきであるので間違っています。リスクのレベルを理解したら、次に設計フェーズは、リスク分析で識別された脅威から保護するために行うことができます。抑止、遅延、検出、評価、応答の設計は、プログラムの各カテゴリのために必要なコントロールを組み込むでしょう。

×：対策を実装します。  

対策を実施することは物理的なセキュリティプログラムを展開プロセスの最後のステップの1つですので、間違っています。

各学校の管理によって任せられる学生番号は個人を特定するに十分な情報とは言えないため、プライバシー情報と言い切れません。