脅威と脆弱性を掛け合わせたものがリスクとなります。脅威が少なくとも、脆弱性が致命的なものであれば、多大な影響つまりリスクとなります。そのため、四則演算の関係で最もよく示したのは乗数になります。

〇：欧州協議会サイバー犯罪条約

サイバー犯罪に関する欧州評議会（CoE）条約は、サイバー犯罪に対する標準的な国際的対応を作成する試みの一例です。これは、国内法を調整し、捜査技術と国際協力を改善することにより、コンピュータ犯罪に対処する最初の国際条約です。条約の目的は、被告人の管轄と犯罪の犯人を拘束するための枠組みの作成を含む。例えば、事件が両国の犯罪である場合にのみ、引渡しが可能です。

×：サイバー犯罪に関する世界大会評議会

サイバー犯罪に関する世界大会評議会は、誤解を招くので間違っています。この条約の正式名称は欧州理事会のサイバー犯罪条約である。これは、サイバー犯罪に対する包括的な法律を制定し、この条約の締約国間の国際協力の枠組みとして、あらゆる国の指針となります。

×：経済協力開発機構（OECD）

経済協力開発機構（OECD）は、異なる政府が集まり、グローバル化された経済の経済的、社会的、ガバナンスの課題に取り組むのに役立つ国際的な組織であるため、イメージCは間違っています。このため、OECDは、データが適切に保護され、誰もが同じ種類のルールを遵守するように、各国のガイドラインを策定しました。

×：サイバー犯罪の協力と開発のための組織

サイバー犯罪の協力と開発のための組織は誤った答えです。この名前の正式な実体はありません。

〇：データ収集技術の作成

リストされた手順のうち、ビジネスインパクト分析（BIA）の第一歩は、データ収集技術を作成することです。 BCP委員会は、アンケート、アンケート、インタビューを使用して、プロセス、取引、サービスのいずれかの関連する依存関係とともに、組織内でどのように異なる作業がどのように達成されるかに関する重要な人物の情報を収集します。プロセスフロー図は、このデータから作成し、BIAおよび計画開発段階全体で使用する必要があります。

×：それぞれの異なるビジネス機能のリスク計算

ビジネス機能が識別された後に各ビジネス機能のリスクが計算されるため正しくありません。そしてそれが起こる前に、BCPチームは重要な人員からデータを集める必要があります。各ビジネス機能のリスクを計算するには、定性的および定量的影響情報を収集し、適切に分析し、解釈する必要があります。データ分析が完了したら、会社内で最も知識のある人と見直して、結果が適切であることを確認し、組織が直面している実際のリスクと影響を説明する必要があります。これにより、最初に取得されなかった追加のデータポイントがフラッシュされ、すべての可能性のあるビジネスへの影響を完全に理解することができます。

×：重要なビジネス機能の特定

重要なビジネス機能の特定は、BCP委員会が重要な人物にインタビューして調査することによって存在するビジネス機能について知った後に行われるため、イメージBは正しくありません。データ収集フェーズが完了すると、BCP委員会は、どのプロセス、デバイス、または業務活動が重要かを判断するための分析を実施します。システムがそれ自身の上に立っていて、他のシステムに影響を及ぼさず、重要度が低い場合、それはティア2またはティア3のリカバリ・ステップに分類できます。つまり、これらのリソースは、最も重要な（ティア1）リソースが起動して実行されるまで、リカバリ段階では処理されません。

×：ビジネス機能に対する脆弱性と脅威特定

ビジネスインパクト分析の終わりに向かって脆弱性やビジネス機能に対する脅威を特定していくため最初のステップとは言えず、不正確です。答えに記載されているステップのうち、最後のステップです。脅威は、人為的、自然的、または技術的なものである可能性があります。可能性のあるすべての脅威を特定し、発生する可能性を推定することが重要です。これらの計画を策定する際には、すぐには問題にならないものもあります。これらの問題は、シナリオベースの演習を行うグループで最もよく対処されます。これにより、脅威が現実になると、その計画にはすべてのビジネスタスク、部門、重要な業務に影響が及ぶことが保証されます。計画されている問題が多いほど、これらのイベントが発生した場合には、より良い準備ができます。

〇：無権限のエンティティと共有するデータの抽出

関係のないものを選ぶ問題です。無許可のエンティティと共有するデータの抽出は、機密性の問題です。ややこしい言い方をしていますが、データに対する操作は無許可と抽出であり、完全性の主とするデータの破壊はいずれも含まれていません。よって正解は、「無権限のエンティティと共有するデータの抽出」になります。

この問題を解く上で、エンティティが何かを知っておく必要はありません。変更や破壊は行われているかどうかに注目します。

×：データに対する不正な操作または変更

間違いです。なぜなら、完全性は、許可されていない操作またはデータの変更に関連するからである。無断改変が防止されると、完全性が維持されます。ハードウェア、ソフトウェア、および通信の仕組みは、データを正しく維持および処理し、予期せぬ変更なしに意図した宛先にデータを移動するために連携して動作する必要があります。システムとネットワークは、外部の干渉や汚染から保護する必要があります。

×：許可なくデータを変更する

権限のないデータの変更が整合性に関連するため、間違いです。整合性とは、データを保護することであり、ユーザーや権限を持たない他のシステムによって変更することはできません。

×：意図的または偶発的なデータの置換

意図的または偶発的なデータの置換が整合性に関連するため、正しくありません。データが不正なエンティティによって改ざんされないという保証とともに、情報およびシステムの正確性および信頼性の保証が提供される場合、完全性が維持されます。完全性を強制する環境では、例えば、ウイルス、ロジックボム、バックドアをデータを破損または置換する可能性のあるシステムに挿入するなどの攻撃を防ぎます。ユーザーは通常、間違ってシステムやそのデータの整合性に影響を与えます（内部ユーザーは悪意のある行為も行う可能性があります）。たとえば、データ処理アプリケーションに誤った値を挿入して、300ドルではなく3,000ドルを顧客に請求することがあります。

〇：経済協力開発機構

ほとんどすべての国は、私的なデータを構成するものとそれをどのように保護すべきかに関する独自の規則を持っています。デジタル時代と情報化時代が到来するにつれ、これらの異なる法律はビジネスや国際貿易に悪影響を与え始めました。このように、経済協力開発機構（OECD）は、様々な国のためのガイドラインを作成し、データが適切に保護され、誰もが同じ規則に従うようにした。

×：トレッドウェイ委員会委員会

不正な財務報告を研究する組織であり、不正な財務報告を調査する機関であり、どの要素がそれらにつながっているかについて、1985年にTreadway Commission（COSO）のスポンサー組織委員会が設立されたため不正です。頭字語のCOSOは、ITを戦略的レベル、企業文化、財務会計原則などに対応するコーポレートガバナンスのモデルを指します。

×：COBIT（Control Objectives for Information and Related Technology）

ITを適切に管理し、ITがビジネスニーズに対応できるようにするためのコントロールの目標を定義するフレームワークであるため、正しくありません。機密データと参照フレームワークの制御とセキュリティの要件を提供する国際的なオープンスタンダードです。

×：国際標準化機構（ISO）

国家標準化団体の代表者で構成される国際標準化機関であるため、間違っています。その目的は、グローバルな標準化を確立することです。しかし、その標準化は、国際的な国境を越えて移動するデータのプライバシーを超えています。例えば、いくつかの規格は品質管理に取り組んでおり、その他の規格は保証とセキュリティに取り組んでいます。

〇：ハクティビスト

政治的な目的でクラッキング行為を行う人をハクティビストといいます。よって正解は、「ハクティビスト」になります。

×：ハッカー

ハッカーとは、コンピュータに詳しい人です。

×：スクリプトキディ

スクリプトキディとは、ITに詳しくないけどツールを使ってサイバー攻撃する人です。中学生という文言がありますが、これだけでスクリプトキディとは断定できません。

×：サイレントマジョリティ

サイレントマジョリティとは、積極的な発言行為をしない一般大衆のことです。

2001年の同時多発テロ事件は、テロに対する様々な法整備がされるきっかけとなりました。よって正解は、「2001年、同時多発テロ事件」になります。

〇：AS / NZS 4360

AS / NZS 4360はセキュリティリスクの分析に使用できますが、その目的のために作成されたものではありません。それは、IT脅威と情報セキュリティリスクに焦点を絞ったNISTやOCTAVEなど、他のリスク評価手法よりもリスク管理にはかなり広いアプローチを取ります。 AS / NZS 4360は、会社の財務、資本、人的安全、およびビジネス上の意思決定のリスクを理解するために使用できます。

×：FAP

正式なFAPリスク分析手法がないため、正しくありません。

×：OCTAVE

ITの脅威と情報セキュリティのリスクに重点を置いているため、画像Bは正しくありません。 OCTAVEは、組織内の情報セキュリティのリスク評価を管理し、指示する状況で使用するためのものです。組織の従業員には、セキュリティを評価するための最良の方法を決定する権限が与えられます。

×：NIST SP 800-30

IT脅威に固有であり情報脅威にどのように関連しているかという理由で、間違っています。主にシステムに焦点を当てています。データは、ネットワークおよびセキュリティプラクティスの評価や組織内の人々から収集されます。データは、800-30文書で概説したリスク分析ステップの入力値として使用されます。

〇：ビジネスパートナーにあなたの会社が準備ができていないことを知らせる

計画済みのビジネス継続性手続きにより、組織は多くのメリットを得ることができます。組織は、以前にリストされた他の回答オプションに加えて、緊急事態への迅速かつ適切な対応を提供し、ビジネスへの影響を軽減し、復旧期間中に外部ベンダーと協力することができます。これらの分野における取り組みは、災害発生時に備えて準備されていることをビジネスパートナーに伝える必要があります。

×：重要なビジネス機能の再開

事業継続計画により、組織は重要なビジネス機能を再開できるため、間違っています。 BCPの作成の一環として、BCPチームは重要なリソースの最大許容ダウンタイムの特定を含むビジネスインパクト分析を行います。この取り組みは、チームが最も重要なリソースを最初に回復できるように、復旧作業の優先順位付けに役立ちます。

×：人命の保護と安全の確保

事業継続計画により、組織は人命を守り安全を確保することができるため、間違っています。人々は会社の最も貴重な資産です。したがって、人的資源は、復旧と継続のプロセスにとって不可欠な要素であり、完全に考慮して計画に統合する必要があります。これが完了すると、事業継続計画は企業が従業員を守るのに役立ちます。

×：ビジネスの存続可能性の確保

計画された事業継続計画により企業が事業の存続可能性を保証できるため、誤りである。事業継続計画は、長期的な停電や災害に対処するための方法と手順を提供します。それは、元の施設が修復されている間に、重要なシステムを別の環境に移すことと、通常の操作が戻ってくるまで別のモードでビジネス操作を行うことを含みます。要するに、ビジネス継続計画は、緊急事態の後にビジネスがどのように行われるかを扱っています。

スコーピングは、標準のどの部分を組織に展開するかを決定します。要望または業界に適用される標準を選択し、組織範囲内にあるものと範囲外にあるものを決定します。

〇：セキュリティ運営委員会

スティーブは、企業内の戦術的および戦略的セキュリティ問題の決定を担当するセキュリティ運営委員会に参加しています。委員会は、組織全体の個人から構成され、少なくとも四半期ごとに会合する必要があります。この質問に記載された責任に加えて、セキュリティ運営委員会は、事業の組織的意思と協力してそれをサポートする、明確に定義されたビジョンステートメントを確立する責任があります。組織のビジネス目標に関係する機密性、完全性、および可用性の目標に対するサポートを提供する必要があります。このビジョンステートメントは、組織に適用されるプロセスにサポートと定義を提供し、ビジネス目標に達することを可能にするミッションステートメントによってサポートされるべきです。

各組織で呼び名は異なりますか、セキュリティに一連の定義から承認までのプロセスを任せられています。その場合、最も近い場合には”運営”という言葉が近いのです。

×：セキュリティポリシー委員会

上級管理職がセキュリティポリシーを策定する委員会であるため、間違っています。通常、上級管理職は、役員または委員会に委任しない限り、この責任を負います。セキュリティポリシーは、セキュリティが組織内で果たす役割を決定します。組織化、特定の問題、またはシステム固有のものにすることができます。運営委員会はポリシーを直接作成するのではなく、受け入れ可能であればレビューと承認を行います。

×：監査委員会

取締役会、経営陣、内部監査人、および外部監査人の間で独立したオープンなコミュニケーションを提供するため、正しくありません。その責任には、内部統制システム、独立監査人のエンゲージメントとパフォーマンス、内部監査機能のパフォーマンスが含まれます。監査委員会は、調査結果を運営委員会に報告するが、セキュリティプログラムの監督と承認を怠ることはない。

×：リスクマネジメント委員会

組織が直面しているリスクを理解し、上級管理職と協力してリスクを許容レベルまで下げることであるため、正しくありません。この委員会は、セキュリティプログラムを監督しません。セキュリティ運営委員会は、通常、その結果を情報セキュリティに関するリスク管理委員会に報告します。リスク管理委員会は、ITセキュリティリスクだけでなく、ビジネスリスク全体を検討する必要があります。

〇：すべてのセキュリティ活動はセキュリティ部門内で実施

すべてのセキュリティ活動がセキュリティ部門内で行われる場合、セキュリティはサイロ内で機能し、組織全体に統合されません。セキュリティガバナンスプログラムを導入している企業では、経営幹部から指揮系統まで、組織全体にセキュリティの責任が浸透しています。一般的なシナリオは、特定の事業部門のリスク管理活動を担当する事業部長を執行する経営幹部の管理です。さらに、従業員は悪意のあるもしくは偶発的に発生しているセキュリティ違反に対して責任を負います。

×：役員は同社のセキュリティ状態について四半期ごとに更新

正しくありません。セキュリティガバナンスとは、戦略指針を提供し、目標が達成されていることを確認し、リスクが適切に管理されていることを確認し、リソースは責任を持って使用されます。セキュリティガバナンスプログラムを導入している組織には、セキュリティの重要性を理解し、組織のセキュリティパフォーマンスと違反を認識している取締役会があります。

×：セキュリティ製品、サービス、およびコンサルタントは情報に基づいた方法で展開

セキュリティガバナンスは、製品、人材、トレーニング、プロセスなどを含む統合セキュリティコンポーネントの一貫したシステムであるため、正しくありません。したがって、セキュリティガバナンスプログラムを導入している組織は、セキュリティ製品、管理サービス、情報に基づいた方法でコンサルタントを支援します。彼らはまた、彼らがコスト効果があることを確認するために絶えず見直されています。

×：組織はセキュリティを向上させるための指標と目標を確立

セキュリティガバナンスが性能測定および監督の仕組みを必要とするため不正確である。セキュリティガバナンスプログラムを導入している組織は、継続的な改善を目標として、セキュリティを含むプロセスを継続的に見直しています。一方、セキュリティガバナンスプログラムを欠いている組織は、そのパフォーマンスを分析せずに進んでいく可能性があり、したがって同様のミスが繰り返されます。

年間予想損失額は、将来発生しうる損失に対して、発生頻度から年間で均した値です。そのため、単一損失額（SLE）と年間発生頻度（ALO）を乗じた値になります。

〇：コマンドとデータを送信するには、Telnetを使用する必要があります。

Telnetは、管理者の資格情報を含むすべてのデータを平文で送信するため、リモート管理は許可しないでください。 この種の通信は、SSHのように、より安全なプロトコルを経由する必要があります。

×：少数の管理者がリモート機能を実行できるようにする必要があります。

少数の管理者だけがリモート機能を実行できるはずであるということが真実であるため、間違っています。 これにより、ネットワークにかかるリスクを最小限に抑えることができます。

×：重要なシステムは、リモートではなくローカルで管理する必要があります。

クリティカルなシステムをリモートではなくローカルで管理する必要があることは事実であるため、間違っています。 パブリックネットワークを介して行うよりも、内部のプライベートネットワーク上で管理コマンドを送信する方が安全です。

×：強力な認証が必要です。

どんな管理活動のためにも強力な認証が必要であるということが真実であるため、間違っています。 パスワードなどの強力な認証よりも弱いものは、攻撃者が侵入して管理アクセス権を得るのは簡単です。

〇：デューケア

守秘義務とは、状況に応じてセキュリティ違反を防止するために合理的に実行できたすべてのことを会社が行い、セキュリティ違反が発生した場合に適切な管理や対策を講じることです。要するに、企業が常識と慎重な経営を実践し、責任を持って行動しているということです。ある企業が免火性がない施設を持っている場合、その放火犯はこの悲劇の小さな部分に過ぎないでしょう。同社は、火災の影響を受ける可能性があるすべての重要な情報の特定の地域、警報、出口、消火器、およびバックアップの火災検知および抑制システム、耐火建築材料の提供を担当しています。火災により会社の建物が燃えてしまい、すべての記録（顧客データ、在庫記録、および事業の再構築に必要な情報）が消滅した場合、当社はその損失から保護されるように注意を払っていないと言えます。たとえば、オフサイトの場所にバックアップするなどが可能でしょう。この場合、従業員、株主、顧客、そして影響を受けたすべての人が潜在的に会社を訴える可能性があります。しかし、会社がこれまでに挙げた点で期待していたことをすべて実行した場合、適切なケア（ディーケア）を怠っても成功しないと訴えることは困難です。

×：下流の責任

ある企業の活動（またはその活動の欠如）が他の会社に悪影響を与える可能性があるため、間違っていることです。いずれかの企業が必要なレベルの保護を提供せず、その過失が協力しているパートナーに影響を及ぼす場合、影響を受けた企業は上流の会社を訴えることができます。たとえば、A社とB社がエクストラネットを構築したとします。 A社はウイルスを検出して対処するためのコントロールを導入していません。 A社は有害なウイルスに感染し、B社にはエクストラネットを通じて感染します。このウイルスは重要なデータを破壊し、B社の生産に大きな障害をもたらします。したがって、B社は、A社を怠慢であると訴えることができます。これは下流の責任の一例です。

×：責任

一般的に特定の当事者の義務と予想される行動や行動を指すため、正しくありません。義務は、特定の義務をどのように果たすかを当事者が決定することを可能にする、より一般的かつオープンなアプローチである必要な特定の行動の定義されたセットを有することができる。

×：デューデリジェンス

この質問に対するより良い答えです。責任は他の回答と同様に法的な用語とはみなされません。デューデリジェンスとは、会社がその可能性のある弱点や脆弱性のすべてを適切に調査したためです。自分を適切に保護する方法を理解する前に、あなたが自分を守っていることを知る必要があります。現実のリスクレベルを理解するために、現実のレベルの脆弱性を調査し評価します。これらのステップと評価が行われた後でさえ、効果的な管理と保護手段を特定し、実施することができます。デューデリジェンスとは、すべての潜在的なリスクを特定することを意味しますが、適切な対応とは、実際にリスクを軽減するためのものです。

サボテージとは、内部の人間に攻撃されることです。

〇：ソーシャルエンジニアリング

ソーシャルエンジニアリングとは、システムではなく人的ミスを誘う攻撃です。システムアーキテクチャ、インストールソフトウェアに関わらず発生します。

×：DDoS攻撃

DDoS攻撃は、DoS攻撃を対象のウェブサイトやサーバーに対して複数のコンピューターから大量に行うことです。

×：ランサムウェア

ランサムウェアとは、データを暗号化することで凍結し、持ち主に身代金を要求するマルウェアです。

×：ゼロデイ攻撃

ゼロディ攻撃とは、修正されるよりも前に公開された脆弱性を攻撃することです。

CIAは、機密性・完全性・可用性の略です。

業務受託会社監査（SOC、Service Organization Control）とは、米国公認会計士協会（AICPA）によって決められている業務の請け負い側の内部統制を保証するための決まりです。業務をほかの会社に請け負ってもらうことがあります。自社の仕事の品質を担保するため、業務を依頼された側の企業でも相応に統制されている必要があります。そのため、業務を依頼される受託会社の内部統制をチェックするわけです。

• SOC-1（Internal Control over Financial Reporting (ICFR)）　受託会社に対する会計を監査する。
• SOC-2（Trust Services Criteria）　受託会社に対する会計以外のセキュリティなどの統制を確認する。通常6か月間調査を行う。
• SOC-3（Trust Services Criteria for General Use Report）　不特定者（利用者）に対する会計以外のセキュリティなどの統制を確認する。

〇：COBITはIT目標を定義し、ITILはプロセスレベルの手順を提供

COBITは、ISACA（以前の情報システム監査管理統制）とITガバナンス研究所（ITGI）によって策定されたフレームワークです。 これは、ITを適切に管理し、ITがビジネス上のニーズに対応できるようにするための、セキュリティのニーズだけでないコントロールの目標を定義します。 ITインフラストラクチャライブラリ（ITIL）は、ITサービス管理のベストプラクティスの事実上の標準です。 カスタマイズ可能なフレームワークであるITILは、目標、これらの目標を達成するために必要な一般的な活動、およびこれらの決定された目標を達成するために必要な各プロセスの入力値と出力値を提供します。 本質的には、COBITは「達成すべきこと」に対応し、ITILは「達成する方法」に取り組んでいます。

×：COBITはITガバナンスのモデル、ITILはコーポレートガバナンスのモデル

COBITをITガバナンスのモデルとして使用することはできますが、ITILはコーポレートガバナンスのモデルではないため、間違っています。実際、トレッドウェイ委員会（COSO）のスポンサー組織委員会は、コーポレートガバナンスのモデルです。 COBITはCOSOフレームワークから派生したものです。 COBITは、多くのCOSOの目標を達成する方法として考えることができますが、ITの観点からのみです。 COBITで扱った多くの目標を達成するために、組織はITサービス管理の目標を達成するためのプロセスレベルのステップを提供するITILを使用できます。

×：COBITはコーポレートガバナンスのモデル、ITILはITサービス管理のためのカスタマイズ可能

前述のようにCOBITはコーポレートガバナンスではなくITガバナンスのモデルとして使用できるため、正しくありません。 COSOはコーポレートガバナンスのモデルです。答えの後半は正しいです。 ITILはカスタマイズ可能なフレームワークであり、ITサービス管理のための一連の書籍またはオンラインのいずれかとして利用できます。

×：COBITはビジネス目標フレームワークを提供、ITILはITサービスレベル目標フレームワークを提供

COBITがITを適切に管理するために使用すべきコントロールの目標を定義し、ITセキュリティのニーズだけでなく、ビジネスニーズにITが対応できるようにするため不適切です。 ITILは、ビジネスニーズに関連するITサービス管理目標を達成するためのステップを提供します。 ITILは、ビジネスニーズを満たすための情報技術への依存度が高まったために作成されました。