〇：包括的にまとめられたエグゼクティブサマリー

経営者への報告書がどれほど技術的に包括的であっても、情報量を多くすることは必ずしも望まれません。ITセキュリティ専門家は、データ漏洩による企業のリスクは、上級管理職が理解し優先順位をつけなければならない多くの懸念の一つに過ぎないことを理解しなければなりません。Cレベルのエグゼクティブは、多くのリスクに気を配らなければならず、よく知られていない高度な技術的脅威が適切に分類するのが難しい場合があります。 つまり、ITセキュリティ専門家の主な仕事は、リスクを管理に合った方法でできるだけ短く要約することです。

×：脅威、脆弱性、および発生する可能性のリスト

経営陣に報告する際に最も重要な要素ではないため、間違っています。 このようなリストは包括的なセキュリティレポートにとって不可欠ですが、経営幹部に提供することは、巧みな幹部要約がなければ効果的な行動を起こすことはまずありません。

×：予想される有害事象の確率および影響の包括的なリスト

経営陣に報告する際に最も重要な要素ではないため、間違っています。このようなリストは技術レポートでは重要ですが、リスク軽減の目標を達成するためには要約が重要です。

×：技術的に包括性を満たすための、脅威、脆弱性、および発生する可能性のリスト、予想される有害事象の確率および影響の包括的なリスト、そしてその要約書

管理者に報告する際に最も一般的で重大な障害となるものが記述されているため、間違っています。

ディスクミラーリングとは、複数のハードディスクに同じデータを書き込むことです。RAID（Redundant Array of Independent Disks）コントローラーはすべてのデータを2回書き込む必要があり、少なくとも2つのディスクが必要です。ディスクストライピングはパリティを使用する場合にも提供できますが、ディスクストライピングだけでは冗長性は提供できません。

〇：経済協力開発機構

ほとんどすべての国は、私的なデータを構成するものとそれをどのように保護すべきかに関する独自の規則を持っています。デジタル時代と情報化時代が到来するにつれ、これらの異なる法律はビジネスや国際貿易に悪影響を与え始めました。このように、経済協力開発機構（OECD）は、様々な国のためのガイドラインを作成し、データが適切に保護され、誰もが同じ規則に従うようにした。

×：トレッドウェイ委員会委員会

不正な財務報告を研究する組織であり、不正な財務報告を調査する機関であり、どの要素がそれらにつながっているかについて、1985年にTreadway Commission（COSO）のスポンサー組織委員会が設立されたため不正です。頭字語のCOSOは、ITを戦略的レベル、企業文化、財務会計原則などに対応するコーポレートガバナンスのモデルを指します。

×：COBIT（Control Objectives for Information and Related Technology）

ITを適切に管理し、ITがビジネスニーズに対応できるようにするためのコントロールの目標を定義するフレームワークであるため、正しくありません。機密データと参照フレームワークの制御とセキュリティの要件を提供する国際的なオープンスタンダードです。

×：国際標準化機構（ISO）

国家標準化団体の代表者で構成される国際標準化機関であるため、間違っています。その目的は、グローバルな標準化を確立することです。しかし、その標準化は、国際的な国境を越えて移動するデータのプライバシーを超えています。例えば、いくつかの規格は品質管理に取り組んでおり、その他の規格は保証とセキュリティに取り組んでいます。

〇：辞書攻撃

人間が覚えられる複雑さには限界があります。意識的に、すでに知っている単語や文字列をパスワードとして扱ってしまいます。そういった脆弱性に対して、既存の単語や文字列を基にパスワードを推測してクラッキングする行為を辞書攻撃と言います。よって正解は、「辞書攻撃」です。

×：典型文攻撃

そのような名前の攻撃はまだありません。

×：ブルートフォース攻撃

ブルートフォースとは、パスワードを無作為に当てようとする不正ログインです。

×：誕生日攻撃

誕生日攻撃とは、少なくとも一つ重なっている確率論により高まった暗号化の衝突を利用して不正ログインを効率的に行うことです。

〇：加工・流通過程の管理

デジタルフォレンジックプロセスの重要な部分は、証拠の親権の適切なチェーンを保つことです。「すべての証拠を確保し、それを検証する者に示す情報として表記する目的」から証拠保全（Chain of Custody）を想定し、最も近しい定義であるものを選択する問題構成となっております。

×：相当な注意

相当な注意が合理的な人が同じような状況で行うことが期待される活動を行うことを意味するので、間違っています。

×：調査

調査はインシデント対応プロセスの間に、関連するデータの適切な収集を含み、分析、解釈、反応、および回復が含まれているため正しくありません。

×：動機、機会、手段

動機、機会、手段（MOM）は、ある犯罪に対して誰によって行われた理由を理解するために使用される戦略であるため、正しくありません。

検知では正しいリクエストを誤っていると判断しても、悪いリクエストを無視しても良くありません。そのため、True Positive（本当の攻撃を検知する）、True Negative（本当の攻撃を検知しない）、False Positive（偽の攻撃を検知する）、False Negative（偽の攻撃を検知しない）の検知の精度結果に分かれます。

〇：データベースの移行

あるリポジトリから別のリポジトリへのアクセス可能なデータの移動は、その寿命にわたって要求されることがあるが、一般的にはこの質問に対する回答として提供される他のフェーズほど重要ではない。

×：データの仕様と分類

データが何であるかの判断とその分類が適切な保護レベルを提供できる最初の必須フェーズであるため誤りです。

×：データアクセスの継続的な監視と監査

機密データへのアクセスを継続的に監視し監査することなく、違反を特定することができず、セキュリティを保証することができないため正しくありません。

×：データアーカイブ

最も敏感なデータであっても保存要件の対象となるため正しくありません。これは、適切な期間、実際の使用時と同じレベルのセキュリティでアーカイブする必要があることを意味します。

〇：データユーザー

仕事に関連する仕事のためにデータを使用する個人は、データユーザーです。ユーザーは、その職務を遂行するためにデータに必要なレベルのアクセス権を持っていなければなりません。また、データの機密性、完全性、他者への可用性を確保するための運用上のセキュリティ手順を遵守する責任があります。これは、ユーザーが適切な注意を払い、セキュリティポリシーとデータ分類ルールの両方に従って行動しなければならないことを意味します。

×：データ所有者

データ所有者の方がデータの保護においてより高いレベルの責任を負うため、間違っています。データ所有者は、データを分類し、分類レベルを定期的に見直し、データ保護職の責任をデータ管理者に委任する責任があります。データ所有者は、通常、組織内のマネージャーまたはエグゼクティブであり、会社の情報資産の保護については責任を負います。

×：データ管理者

データ管理者がデータ所有者の指示に従ってセキュリティ管理の実装と保守を担当しているため、正しくありません。言い換えれば、データ管理者は、データを保護するコントロールの技術者です。彼女の任務には、バックアップの作成、データの復元、対策の実施と維持、コントロールの管理が含まれます。

×：情報システム審査員

情報システム審査員は、コントロールの評価を担当するため、正しくありません。コントロールを評価した後、監査人は管理者に報告書を提出し、組織の許容可能なリスクレベルと結果とのマッピングを示します。これは、データを使用したり、データの使用に細心の注意を払ったりすることとは関係ありません。

〇：インターフェーステストは正しい状態において正しく動作することを確認する意図があります。悪用テストはエラー状態において問題が起こるかどうかを確認する意図があります。

すべてのアプリは適切に機能し使用できるようにインターフェイステストを受けなければなりません。それらの意図的な悪用が、アプリケーションがアクセスを提供するデータの機密性、完全性、および可用性を害するエラーを引き起こす可能性があるかどうかを判断するために、誤用ケーステストを受けるべきです。

×：インターフェーステストはエラー状態において問題が起こるかどうかを確認する意図があります。悪用テストは正しい状態において正しく動作することを確認する意図があります。

文章の説明が逆になっています。

×：インターフェーステストはユーザービリティが適切かを確認する意図があります。悪用テストはエラーの発生するタイミングを監視します。

インターフェースはユーザービリティに限りません。サーバー間通信のAPIに対する試験でもあります。

×：インターフェーステストと悪用テストは本質的に同じです。

本質的には、試験の目的やその目的を達成するための環境づくりが異なります。

〇：利用される最も一般的な方法として、最上位ビットを変更します。

ステガノグラフィーは、他のメディアタイプのデータに隠蔽する方法です。媒体のいくつかの種類にメッセージを埋め込む最も一般的な方法の一つは、最下位ビット（LSB）を使用しています。ファイルの多くの種類が変更され、機密データが見えるようにしてファイルを変更せずに非表示にすることができる場所であるためです。LSBのアプローチでは、高解像度や音を多く含むオーディオファイル（高ビットレート）のグラフィックス内に情報を隠すことに成功しています。

×：抽象化による隠蔽です。

ステガノグラフィは、抽象化による隠蔽であるため、正しくありません。あいまいさによるセキュリティは、実際に対策を使って何かを確保するのではなく、誰かが資産を保護する方法として、秘密を使用することを意味します。

×：暗号化がそうであるように、ステガノグラフィも機密データ自体の存在性を表に示しているわけではない。

暗号化を行うようにステガノグラフィが自分自身に注意を引くしないことは事実です。つまりは、抽象化による隠蔽です。

×：メディアファイルは、サイズが大きいステガノグラフィ伝送に最適です。

誰もが気づくことは低い可能性と操作するための複数のビットを私用する必要があるため、より大きなメディアファイルはステガノグラフィ伝送のために理想的であることは事実であるため、正しくありません。

〇：IMの使用は、単にネットワークファイアウォールの特定のポートをブロックすることによって停止させることができる。

インスタントメッセージング（IM）は、人々がリアルタイムおよび個人的なチャットルームのタイプを介して互いに通信することを可能にします。これらの技術には、ファイル転送する機能を有しているでしょう。ユーザーがIMクライアントををインストールし、一意の識別子が割り当てられています。IM経由で通信したい人には、この一意の識別子を提供します。IMトラフィックが共通ポートを使用することができるため、ファイアウォールで特定のポートをブロックすることは通常は効果的ではありません。

この問題自体がセキュリティについての理解を確認するものであり、そのうえで「プレゼンテーションに含まれるべきではない」ということは、IMが安全で素晴らしい技術であるという主張をしたいわけではありません。

×：機密データやファイルをIMを介してシステムからシステムに転送することができます。

メッセージをテキストに加えて、インスタント・メッセージングは​​システムから転送するファイルを可能にしますので、間違っています。これらのファイルは、ビジネスや法的リスクで会社を入れて、機密情報を含む可能性があります。そして、IM経由でファイルを共有することは、ネットワーク帯域幅とインパクトのネットワークパフォーマンスをそれだけ使うことになります。

×：ユーザーが情報を含むマルウェアからの正当な送信者を装った攻撃を受けることができます。

真であるため、正しくありません。受信機ではなく、正当な送信者の悪意あるユーザからの情報を受け付けるようにあるため、強力な認証の不足のため、アカウントが偽装させることができます。また、多数のバッファオーバーフローと異なるのIMクライアントで成功している不正な形式のパケット攻撃もあるでしょう。

×：セキュリティポリシーは、IMの使用制限を指定して必要とされています。

彼のプレゼンテーションではIM利用制限を指定するセキュリティポリシーの必要性を含むべきであるので、間違っています。これは、IM関連のセキュリティ侵害から環境を保護するためのいくつかのベストプラクティスの1つにすぎません。その他のベストプラクティスは、IMトラフィックをブロックするファイアウォールを構成するより安全なバージョンにIMソフトウェアをアップグレードし、社内の従業員のみが、組織のネットワーク内で通信するように、企業のIMサーバを実装し、すべてのコンピュータに統合されたウイルス対策/ファイアウォール製品を実装含みます。

〇：サルト

レインボーテーブルとは、プレーンテキストと一致する暗号文の事前に作成されたリストであり、パスワードと一致するハッシュを持ちます。テーブルには数百万のペアを含めることができます。サルト（Salting）とは、パスワードまたはパスフレーズを「ハッシュ」する一方向関数への追加入力として使用されるランダムデータです。ソルトの主な機能は、辞書攻撃またはコンパイル済みのレインボーテーブル攻撃から防御することです。

×：ログイン試行制限

あらゆる不正ログイン方法に有効ですが、レインボーテーブルに対する直接的な、効果的な対策ではありません。

×：キーストレッチング

暗号化を目的に、パスワードをより長くランダムな文字列に置き換えることです。

×：ハッシュ化

パスワードハッシュとは、パスワードを安全に保管するために固定長の暗号（ハッシュ）文です。

〇：ゼロ知識証明

ゼロ知識証明は、誰かがあなたが知る必要があるよりも、より多くの情報を伝えることなく、あなたに何かを伝えることができることを意味します。暗号化では、それはあなたがその鍵を共有するか、誰にもそれを示すことなく、特定のキーを持っていることを証明することを意味します。ゼロ知識証明（通常は数学的）は、敏感な何かを明らかにすることなく、真実であることを別のものに証明するために、一方の当事者のための対話的な方法です。

×：キークラスタリング

キークラスタリングとは、同じ平文を別々の鍵で暗号化したのに、同じ暗号文になる現象です。

×：誕生日攻撃を回避

攻撃者は、誕生日攻撃と呼ばれる、衝突を強制しようと試みることができます。この攻撃は、標準的な統計に存在する数学的な誕生日のパラドックスに基づいています。これは確率論で誕生日の問題の背後に数学を利用した暗号攻撃です。

×：データの機密性を提供

データが鍵で暗号化されたときに暗号化を介して提供されるもので、正しくありません。

単体テストとは、開発したモジュールが単体で動くことを確認するテストです。結合テストとは、開発したモジュール同士を連結して全体動作を確認するテストです。

〇：リソースに近い場所でアクセス制御できること。

中央アクセス制御は、統一的なルール、運用負担の軽減など様々な利点があります。分散アクセス制御では、リソースに近い場所でアクセス制御できるため、リソースを独立して保護することができます。よって正解は、「リソースに近い場所でアクセス制御できること。」になります。

×：包括的な設計が可能であること。

分散アクセス制御では、認証・認可機能が分散しているため、包括的な設計とは言えません。

×：比較的コストが抑えられること。

コストが抑えられるかどうかは、この設計思想だけでは決められないでしょう。

×：様々な機器からのログで現状を把握しやすくなる。

中央アクセス制御でも分散アクセス制御でも様々な機器からのログの取得はできます。

クリッピングレベルとは、ある閾値を超えたときにレポーティングすることで対応負担を少なくするためのテクニックです。具体的には、ログイン試行回数やアクセス数や処理速度などが正常ではないことを判断するための閾値のことです。

〇：一部のシステムが代替サイトにて実行されることを保証します。

並列テストでは、一部のシステムが代替サイトで実行されるのかを確認します。これは、サービスの生産性には影響を控えつつ、システムが代替サイトで動作することを保証するためです。

×：すべての部署に災害復旧計画のコピーが送られ、完全性を確認します。

この選択肢はチェックリストテストを記述しているため、正しくありません。

×：各部門の代表者が集まり、妥当性の検証受けます。

この選択肢は構造化ウォークスルーテストを記述しているため、正しくありません。

×：通常運用システムをダウンさせます。

この選択肢は完全中断テストを記述しているため、正しくありません。

アカウント管理のレビューにおいて、一般的に対象となるのは権限の高いアカウントです。権限の高いアカウントは、一般のアカウントに比べて高いセキュリティリスクを持っており、レビューの対象となります。

統計的な観点では「ランダムに抽出されたアカウント」も良い答えですが、統計的な目的でランダムなアカウントを調べる場合には、そのアカウントが有効であるかといった問題に焦点が当てられています。問題文の中の”セキュリティリスク”に対する関心を強調するのであれば、「高い権限を持つアカウント」が近いといえます。

Diameterとは、RADIUSの後継となるAAA(Authentication, Authorization, Accounting)サービスを実装する認証プロトコルです。RADIUSの問題点の一つとしては、再送機能により発生しやすくなる輻輳を制御する機能がありません。これにより、パフォーマンスの低下やデータ損失が懸念されます。

〇：ソフトウェア構成管理

ソフトウェア構成管理（SCM）を提供する製品は様々な点でのソフトウェアの属性を識別し、ソフトウェア開発ライフサイクル全体を通してソフトウェアの完全性と追跡可能性を維持するために、統合的な制御を行います。ソフトウェア開発プロジェクトの間に、中央集中型のコードリポジトリとして管理し、単一のマスターセットに対して複数の人によって作られたリビジョンを追跡するSCM機能を行うことができるでしょう。

×：ソフトウェア変更管理

ソフトウェア変更管理は、ソフトウェア構成管理の一部のみです。変更管理では古いバージョンを使用することへの抑止の意図に即しません。

×：ソフトウェアエスクロー

コードを開発したベンダーが破産など特定の状況が発生した場合に、顧客にリリースする予定のソフトウェアエスクローフレームワークでは、第三者がソースコードのコピーを保持します。

×：ソフトウェアリストア

ソフトウェアリストアは利用される場面によってその意味は変わってくるでしょう。一般的には、初期状態に戻すことやバックアップから以前の安定稼働できる状態に復元することを指します。

〇：公表されている情報以外は何も知らない。

ブラックボックステスト（ゼロ知識）では、攻撃者は公開されている情報以外に組織についての知識を持っていません。外部の攻撃者が行うことに焦点が当てられています。よって正解は、「公表されている情報以外は何も知らない。」になります。

×：すべて知っている。

ホワイトボックステストとは、プログラムの中身を把握したうえで行う、プログラムの動作を確認するテストです。

×：製品マニュアルを保持し、特権アクセスを保持している。

グレーボックステストとは、ある程度のペンテスターに攻撃者は限られた知識しか与えず行うテストです。

ホワイトボックステストやグレーボックステストに当たります。

×：ベンダーがアクセス可能なレベルの情報を保持している。

ブラックボックステストでは、攻撃者は原則情報を得ていません。

ホワイトボックスソフトウェアテストでは、テスターはプログラムのソースコード、データ構造、変数などに完全に知っている状態で行います。

〇：コーダーのコーディングが完了した後、他のコーダーによってレビューすること。

スタティックコードレビューでは、作成者の目には明らかにならなかった点を軽減するために、別のエンジニアによって行われるレビューです。よって正解は、「コーダーのコーディングが完了した後、他のコーダーによってレビューすること。」になります。

×：コーダーが互いのコーディングを見て並行して作業するようにすること。

エクストリームプログラミング（XP、extreme programming）とは、2人1組で話し合いながら柔軟にプログラム開発する方法です。コードレビューではありません。

×：チェックイン前に適切なトランザクション処理が適用されていることを確認すること。

データベースのコミットメントに関する記述です。

×：適切な質疑応答が存在することを確認すること。

適切な質疑応答があるかどうかは、コードレビューの中で実施される一部かもしれませんが、コードレビュー自体の説明ではありません。

災害復旧計画（Disaster Recovery Planning）には、軽減、準備、対応、および回復のライフサイクルがあります。

• 軽減：災害の影響と可能性を減らします。
• 準備：対応のためのプログラム、手順、ツールを作成します。
• 対応：手順に従って、災害時にどのように対応するか。
• 回復：基本機能を再確立し、完全な本番環境に戻します。

〇：フェデレーションアイデンティティ

フェデレーションアイデンティティは、ビジネスの境界を越えて使用することができ、ポータブルアイデンティティおよびそれに関連する技術です。これは、ユーザーが複数のITシステムや企業全体にわたって認証することができます。フェデレーションアイデンティティは、同期やディレクトリの情報を統合する必要がなく、2つ以上の位置でユーザーのそれ以外の場合明確なアイデンティティをリンクに基づいています。フェデレーションアイデンティティは、企業や消費者に分散されたリソースにアクセスするためのより便利な方法を提供し、電子商取引の重要なコンポーネントです。

×：ユーザー・プロビジョニング

ユーザー・プロビジョニングは、ユーザーアカウントの作成、保守、ユーザオブジェクトおよび属性の非アクティブ化を参照しているので、間違っています。

×：ディレクトリ

ほとんどの企業は、企業のネットワークリソースおよびユーザーに関する情報が含まれているディレクトリのいくつかのタイプを持っている一方で、一般的にこれらのディレクトリは異なる企業に広がるような利用はされません。確かに昨今ではオープンAPI化とクラウドにより、一つのディレクトリによってサービスを展開する動きもありますが、しかしディレクトリサービス自体にリソース共有の意味合いは含まれていません。

×：ウェブアクセス管理

Webアクセス管理（WAM）ソフトウェアは、Webベースの企業資産と対話するためのWebブラウザを使用している場合、ユーザーがアクセスできるかを制御するものであるため、正しくありません。

危殆化とは、安全な暗号化だったものがコンピュータの進化によって安全でなくなることを言います。暗号は鍵という一つの答えを通信を行うもの同士で共有していることで成り立ちます。鍵はコンピュータの計算によって生成され、鍵を第3者が導き出すには数年かかるような難問を解かなければなりません。しかしながら、コンピュータの計算能力が進化し、前までは解けなかった難問も解けるようになりました。こうなると暗号化の意味がありません。これが進化による危殆化です。よって正解は、「危殆化」になります。

〇：データ収集技術の作成

選択肢の内、ビジネスインパクト分析（BIA）の第一歩は、データ収集技術を作成することです。 BCP委員会は、アンケートやインタビューを使用して、プロセス、取引、サービスのいずれかの関連する依存関係とともに、組織内でどのように異なる作業がどのように達成されるかに関する重要な人物の情報を収集します。プロセスフロー図は、このデータから作成し、BIAおよび計画開発段階全体で使用する必要があります。

×：それぞれの異なるビジネス機能のリスク計算

ビジネス機能が識別された後に各ビジネス機能のリスクが計算されるため正しくありません。そしてその前にも、BCPチームは重要な人員からデータを集める必要があります。各ビジネス機能のリスクを計算するには、定性的および定量的影響情報を収集し、適切に分析し、解釈する必要があります。データ分析が完了したら、会社内で最も知識のある人と見直して、結果が適切であることを確認し、組織が直面している実際のリスクと影響を説明する必要があります。これにより、最初に取得されなかった追加のデータポイントがフラッシュされ、すべての可能性のあるビジネスへの影響を完全に理解することができます。

×：重要なビジネス機能の特定

重要なビジネス機能の特定は、BCP委員会が重要な人物にインタビューして調査することによって存在するビジネス機能について知った後に行われるため、正しくありません。データ収集フェーズが完了すると、BCP委員会は、プロセス、デバイス、または業務活動が重要かを判断するための分析を実施します。

×：ビジネス機能に対する脆弱性と脅威特定

ビジネスインパクト分析では、プロセスを進めるにしたがって、脆弱性やビジネス機能に対する脅威を特定していくため最初のステップとは言えず、不正確です。答えに記載されているステップのうちでは、最後のステップです。脅威は、人為的、自然的、または技術的なものである可能性があります。可能性のあるすべての脅威を特定し、発生する可能性を推定することが重要です。これらの計画を策定する際には、すぐには問題にならないものもあります。これらの問題は、シナリオベースの演習を行うグループで最もよく対処されます。これにより、脅威が現実になると、その計画にはすべてのビジネスタスク、部門、重要な業務に影響が及ぶことが保証されます。計画されている問題が多いほど、これらのイベントが発生した場合には、より良い準備ができます。

〇：無権限のエンティティと共有するデータの抽出

関係のないものを選ぶ問題です。無許可のエンティティと共有するデータの抽出は、機密性の問題です。ややこしい言い方をしていますが、データに対する操作は無許可と抽出であり、完全性の主とするデータの破壊はいずれも含まれていません。よって正解は、「無権限のエンティティと共有するデータの抽出」になります。

この問題を解く上で、エンティティが何かを知っておく必要はありません。変更や破壊は行われているかどうかに注目します。

×：データに対する不正な操作または変更

間違いです。なぜなら、完全性は、許可されていない操作またはデータの変更に関連するからである。無断改変が防止されると、完全性が維持されます。ハードウェア、ソフトウェア、および通信の仕組みは、データを正しく維持および処理し、予期せぬ変更なしに意図した宛先にデータを移動するために連携して動作する必要があります。システムとネットワークは、外部の干渉や汚染から保護する必要があります。

×：許可なくデータを変更する

権限のないデータの変更が整合性に関連するため、間違いです。整合性とは、データを保護することであり、ユーザーや権限を持たない他のシステムによって変更することはできません。

×：意図的または偶発的なデータの置換

意図的または偶発的なデータの置換が整合性に関連するため、正しくありません。データが不正なエンティティによって改ざんされないという保証とともに、情報およびシステムの正確性および信頼性の保証が提供される場合、完全性が維持されます。完全性を強制する環境では、例えば、ウイルス、ロジックボム、バックドアをデータを破損または置換する可能性のあるシステムに挿入するなどの攻撃を防ぎます。ユーザーは通常、間違ってシステムやそのデータの整合性に影響を与えます（内部ユーザーは悪意のある行為も行う可能性があります）。たとえば、データ処理アプリケーションに誤った値を挿入して、300ドルではなく3,000ドルを顧客に請求することがあります。

〇：Teardrop

Teardropとは、IPパケットの分割前に戻すときのオフセットを偽造することでシステムを停止させる攻撃です。

×：Fraggle攻撃

Fraggle攻撃とは、適当な文字列を生成するCHARGEN機能を使った攻撃です。

×：CHARGEN攻撃

そのような名前の攻撃はありません。

×：ウォードライビング

ウォードライビングとは、街を車で移動しながら、脆弱な無線LANのアクセスポイントを捜し回ることです。

CSMA / CD（Carrier Sense Multiple Access Collision Detection）とは、イーサネットのように同時に送信と受信が可能なシステムに使用されます。 2つのクライアントが同時にリッスンし、回線がクリアであることを確認すると、両方が同時に送信して衝突を引き起こす可能性があります。このシナリオを解決するためにCD（Collision Detection）が追加されています。クライアントは、回線がアイドル状態であるかどうかを確認し、アイドル状態の場合は送信します。使用中の場合、ランダムな時間（ミリ秒）待機します。送信中、彼らはネットワークを監視しており、送信よりも多くの入力が受信された場合、別のクライアントも送信しており、他のノードに送信を停止するように指示するジャム信号を送信し、ランダムな時間待機してから再送信を開始します。

回線交換は、ネットワークを介した専用通信チャネルです。この回路は全帯域幅を保証します。回路は、ノードがケーブルで物理的に接続されているかのように機能します。

〇：ゴミ箱に入れた後に社外の人の手に渡る可能性があるため。

ダンプスターダイビング、またはスキャベジングとは、ゴミ箱の中から重要情報を見つけることです。ゴミ箱に入れると、削除した気になり安心してしまいます。しかし、ゴミ箱は清掃員など社内と社外をつなぐ共有スペースに他なりません。機密情報を含む文章などは、シュレッダーにかけ漏洩しないようにしましょう。

×：ゴミ箱から復元する際に他の文章と混ざってしまうため。

復元する目的で破棄はしません。

×：機密文章は破棄する必要がないため。

機密文章であっても、不必要となれば破棄しなければなりません。

×：シュレッダーにかける必要はない。

いいえ、当然シュレッダーにはする必要があります。

〇：ビジネスパートナーにあなたの会社が準備ができていないことを知らせる

計画済みのビジネス継続性手続きにより、組織は多くのメリットを得ることができます。組織は、以前にリストされた他の回答オプションに加えて、緊急事態への迅速かつ適切な対応を提供し、ビジネスへの影響を軽減し、復旧期間中に外部ベンダーと協力することができます。これらの分野における取り組みは、災害発生時に備えて準備されていることをビジネスパートナーに伝える必要があります。

×：重要なビジネス機能の再開

事業継続計画により、組織は重要なビジネス機能を再開できるため、間違っています。 BCPの作成の一環として、BCPチームは重要なリソースの最大許容ダウンタイムの特定を含むビジネスインパクト分析を行います。この取り組みは、チームが最も重要なリソースを最初に回復できるように、復旧作業の優先順位付けに役立ちます。

×：人命の保護と安全の確保

事業継続計画により、組織は人命を守り安全を確保することができるため、間違っています。人々は会社の最も貴重な資産です。したがって、人的資源は、復旧と継続のプロセスにとって不可欠な要素であり、完全に考慮して計画に統合する必要があります。これが完了すると、事業継続計画は企業が従業員を守るのに役立ちます。

×：ビジネスの存続可能性の確保

計画された事業継続計画により企業が事業の存続可能性を保証できるため、誤りである。事業継続計画は、長期的な停電や災害に対処するための方法と手順を提供します。それは、元の施設が修復されている間に、重要なシステムを別の環境に移すことと、通常の操作が戻ってくるまで別のモードでビジネス操作を行うことを含みます。要するに、ビジネス継続計画は、緊急事態の後にビジネスがどのように行われるかを扱っています。

〇：ある。企業目標を達成するのにセキュリティがあるため同一の目標を持つべきだ。

組織目標を達成する指標として、KPIなどのマーケティン指標がある。組織にセキュリティ機能を整備することも、これらの目標を達成するための存在する。

×：ある。セキュリティ業界のマーケティングはリスクオフが認められる。

「セキュリティ業界におけるマーケティング」では、組織としてセキュリティ機能を整える意味ではない。

×：ない。分業体制を徹底し専門家に任せるべきだ。

確かに組織の分業は大事ですが、組織のすべての構成員がセキュリティを意識する必要があります。

×：ない。役員判断となるような機密情報はセキュリティと無関係だ。

セキュリティは組織全体で取り組むべきものです。関係ないとは言えません。

〇：ストライピング

RAIDの冗長アレイは、冗長性やパフォーマンスの向上に使用されるテクノロジーです。 複数の物理ディスクを結合し、それらを論理アレイとして集約します。RAIDは、アプリケーションや他のデバイスに対して単一のドライブとして表示されます。ストライピングを使用すると、すべてのドライブにデータが書き込まれます。 このアクティビティでは、データを複数のドライブに分割して書き出します。 複数のヘッドが同時にデータを読み書きしているため、書き込み性能と読み取り性能が大幅に向上します。

×：パリティ

破損したデータを再構築するためにパリティが使用されます。

×：ミラーリング

一度に2つのドライブにデータを書き込むことをミラーリングと言います。

×：ホットスワップ

ホットスワップとは、ほとんどのRAIDシステムに搭載されているタイプのディスクを指します。ホットスワップディスクを備えたRAIDシステムは、システムの稼動中にドライブを交換することができます。 ドライブがスワップアウトまたは追加されると、パリティデータは、追加されたばかりの新しいディスク上のデータを再構築するために使用されます。

〇：ブリューワーナッシュモデル（Brewer-Nash Model）

ブリューワーナッシュモデル（Brewer-Nash Model）とは、インサイダー取引などの組織内の情報のフローに着目したセキュリティモデルです。インサイダー取引とは、内部情報が外部に漏れ出ることで起こります。現実問題、口伝えに無関係な人に知り渡っていくことで思わぬところにまで情報がいきわたることがあります。そんな情報の流れを考慮に入れるため、シミュレーションのような形でアクセス権限を決めます。

×：格子ベースアクセスコントロール

格子ベースアクセスコントロールとは、一つの主体が複数のアクセス権を持ち得ることを想定し、アクセスコントロールをある条件下で取りえるすべての関係性として考えることです。

×：Bibaモデル

Bibaモデルとは、データが勝手に変更されないことを示すセキュリティモデルの一つです。

×：ハリソンルゾウルマンモデル

ハリソンルゾウルマン（Harrison-Ruzzo-Ullman）モデルとは、グラハムデニングモデルの８つルールをアクセス制御マトリクスを使って6つのルールに集約したモデルです。

〇：コマンドとデータを送信するには、Telnetを使用する必要があります。

Telnetは、管理者の資格情報を含むすべてのデータを平文で送信するため、リモート管理は許可しないでください。 この種の通信は、SSHのように、より安全なプロトコルを経由する必要があります。

×：少数の管理者がリモート機能を実行できるようにする必要があります。

少数の管理者だけがリモート機能を実行できるはずであるということが真実であるため、間違っています。 これにより、ネットワークにかかるリスクを最小限に抑えることができます。

×：重要なシステムは、リモートではなくローカルで管理することも検討しましょう。

クリティカルなシステムをリモートではなくローカルで管理する必要があることは事実であるため、間違っています。 パブリックネットワークを介して行うよりも、内部のプライベートネットワーク上で管理コマンドを送信する方が安全です。

×：強力な認証が必要です。

どんな管理活動のためにも強力な認証が必要であるということが真実であるため、間違っています。 パスワードなどの強力な認証よりも弱いものは、攻撃者が侵入して管理アクセス権を得るのは簡単です。

〇：DOMベース

メアリーは、ドキュメントオブジェクトモデル（DOM）は、ローカルクロスサイトスクリプティングと呼ばれるクロスサイトスクリプティング（XSS）の脆弱性を悪用しています。DOMは、ブラウザでHTMLやXML文書を表現するための標準的な構造のレイアウトです。このような攻撃では、そのようなフォームフィールドやクッキーなどのドキュメントのコンポーネントには、JavaScriptを介して参照することができます。攻撃者は、クライアント側のJavaScriptを変更するには、DOM環境を使用しています。結果として不正なJavaScriptコードを実行するために、被害者のブラウザを引き起こします。これらの攻撃を防ぐために最も効果的な方法は、ブラウザでスクリプトサポートを無効にすることです。

×：二次

二次の脆弱性、または永続的なXSSの脆弱性は、フォーラムやメッセージボードのようにデータベースまたは他の場所に格納されているデータを入力するウェブサイトをターゲットにされているため、正しくありません。

×：永続

永続的なXSSの脆弱性は、単に二次の脆弱性のために別の名前であるため、正しくありません。

×：非永続

反射脆弱性と呼ばれる非永続XSSの脆弱性は、クッキーなどを保持している者から機密情報を盗むために不正なスクリプトを使用してプログラムされたURLを開くようにするもので、正しくありません。この攻撃の背後にある原理は、動的なWebサイト上の適切な入力または出力の検証の欠如にあります。

P.A.S.T.A.とは、コンプライアンスとビジネス分析しながら、資産価値を保護する方法を見つける7ステップです。自分の資産を保護するには、まず何から手を付けたらよいのでしょうか。P.A.S.T.A.は道筋を指示してくれます。P.A.S.T.A.を使用すると、組織はアプリケーションとインフラストラクチャに対する攻撃者の視点を理解できるため、脅威管理プロセスとポリシーを発見できます。脅威を見つけることが主軸にあるため、リスク中心に考えるところと、シミュレーションがあるところが特徴です。

〇：中間一致攻撃

中間一致攻撃とは、暗号と復号を同時にすることにより鍵を取得する攻撃です。DESのように古い暗号化方式であっても、暗号化を2回繰り返せば安全であろうと一瞬思います。しかしながら、2回暗号化してもさほど強度が上がりません。暗号化を2回繰り返すと、平文、暗号文1回目、暗号文2回目の3つができます。めぼしい鍵をひとつずつあてはめていきもしもそれが正しい鍵であるとき、暗号と復号を同時に行っていけばどこかで一致します。わざわざ2回も暗号化しているのに、暗号文から平文を見つけるのとあまり変わりません。共通鍵暗号化方式の一つであるDESは脆弱性が発見された後、数段階DESを行う方法が考えられました。2DESではこの中間一致攻撃の対象になるため、3回を繰り返す3DESという方法が考案されました。よって正解は、「中間一致攻撃」になります。

×：CRIME攻撃

CRIME攻撃とは、暗号文の圧縮率から元のデータを解読する攻撃です。

×：BEAST攻撃

BEAST攻撃とは、Web通信での暗号化の脆弱性を利用して、盗聴する攻撃です。

×：サイドチャネル攻撃

サイドチャネル攻撃とは、物理的な情報からシステムデータを盗聴する攻撃です。

〇：暗号化、復号がより効率的です。

楕円曲線は、アプリケーションの多くの異なる種類の有用性が示されている豊富な数学的構造です。楕円曲線暗号（ECC）は、その効率のために、他の非対称アルゴリズムとは異なります。ECCは、他の非対称アルゴリズムよりも計算量が少ないため効率的です。ほとんどの場合、鍵が長いほど安全を保護するための計算も肥大化しますが、ECCはRSAが必要とするよりも短い鍵サイズと同じレベルの保護を提供することができます。

×：デジタル署名、安全な鍵配布、および暗号化を提供します。

ECCは、デジタル署名、安全な鍵配布、および暗号化を提供する唯一の非対称アルゴリズムではありませんので、間違っています。RSAなど他の非対称アルゴリズムによって提供されます。

×：有限離散対数で計算します。

ディフィー・ヘルマンとエル・ガマルが有限離散対数を計算するため、間違っています。

×：暗号化を実行するためにリソースの大きな割合を使用します。

他の非対称アルゴリズムと比較した場合のECCがはるかに少ないリソースを使用しているため正しくありません。無線機器や携帯電話のようないくつかのデバイスは、処理能力、ストレージ、電力、帯域幅が限られています。このタイプで用いる暗号化方法として、リソースの利用効率は非常に重要です。

クロスサイトトレーシングとは、TRACEメソッドのHTTP通信をWebページに埋め込むことで、認証情報を取得する攻撃です。ログイン画面にXSSでTRACEメソッドを埋め込まれてしまったとしましょう。ログインするためのパスワードが送信された後、TRACEで返却されて戻ってきてしまいます。送ったきりのパスワードがブラウザに戻ってくることで、漏洩につながっていきます。

〇：オペレーション継続計画

オペレーション継続計画（COOP）は、上級管理職や災害後の本部を確立します。また、役割と権限、個々の役割タスクの概要を示します。COOPを作成すると、組織はミッションクリティカルなスタッフ、資源、手順、機器を識別するためにどのように動作するかを評価することから始まります。サプライヤー、パートナー、請負業者が日常的に相互に協力する他の企業を特定し、これらの企業のリストを作成します。よって正解は、「オペレーション継続計画」になります。

×：サイバーインシデント対応計画

サイバーインシデント対応計画（Cyber Incident Recovery）とは、サイバー攻撃を受けた時の復旧計画です。

×：乗員緊急計画

乗員緊急計画とは、施設のスタッフを円滑に安全な環境に移行させるための計画です。

×：ITコンティンジェンシープラン

コンティンジェンシープランとは、事故や災害など非常事態が発生した場合に備えて、対応策をまとめた計画です。

各学校の管理によって任せられる学生番号は個人を特定するに十分な情報とは言えないため、プライバシー情報と言い切れません。

〇：ウイルスがパッチされていないファイルバージョンをバックアップメディアから復元します。

最善の方法は、バックアップメディアからパッチされていないファイルの未感染バージョンをインストールすることです。 ファイルを駆除しようとすると破損する恐れがあり、クリーンであることがわかっているファイルを復元することが重要です。何より影響を広げないことが大事ですが、ファイルを一方的に削除しようとすると、後の調査に利用できなくなる恐れもあります。よって正解は、「ウイルスがパッチされていないファイルバージョンをバックアップメディアから復元します。」になります。

×：前日に保存したファイルに置き換えます。

前日保存したファイルにもウイルスが存在している可能性があります。

×：ファイルを削除し、ベンダーに連絡します。

ファイルを削除した場合、正常なファイル内容そのものが損傷する可能性があることが、本問題の条件となっていますので、不正解になります。

×：データをバックアップし、ファイルを削除します。

ウイルスの入っているデータをバックアップし、ファイルを削除してもクリーンな状態にはならないため、不正解となります。

〇：セキュリティドキュメントに対するレビューおよび評価すること。

プロビジョニングとは、アカウント情報の管理を指します。ドキュメントのレビューはプロビジョニングに含ません。よって正解は、「セキュリティドキュメントに対するレビューおよび評価すること。」になります。

×：従業員が会社を離れるとき、速やかにアカウントを無効にすること。

組織に所属しているユーザーとアカウント利用に関する適切なプロビジョニングです。

×：定期的な見直しを行い、最小権限の原則を守ること。

アカウントのアクセス権限に対する適切なプロビジョニングです。

×：不要になったアカウントは適宜削除すること。

必要最低限のアカウント情報の管理に対する適切なプロビジョニングです。

VoIPはUDPを使用します。リアルタイム重視であり、コネクションレス型で数秒後に再送信するよりも、1つか2つのパケットを失う方がよいのでしょう。

答えはUDPでしたが、VoIPが利用しているプロトコルとして覚えるべきではありません。速度やリアルタイム性が重要なサービスにおいてはUDPが使われている傾向があるルールを理解し、問題の推測することが大事です。

HIPAA（医療保険の相互運用性と説明責任に関する法律）には、プライバシールール、セキュリティルール、違反通知ルールの3つのルールがあります。この規則は、管理上、物理的、および技術的な保護手段を義務付けています。

〇：資産をカバーするために必要な保険の水準

使用されないものを選ぶ問題です。資産価値（AV、Asset Value）の算出方法にはいくつかあり、市場で似た資産を参考にするマーケットアプローチ、将来的に稼ぐであろう利益で計る収益アプローチ、資産に使ったコストで計るコストアプローチになります。資産をカバーするために必要な保険の水準というのは、資産価値を特定し適切なリスク分析を行ったうえで行われる意思決定で、組織はその資産を購入する保険範囲のレベルをより簡単に判断できます。よって正解は、「資産をカバーするために必要な保険の水準」になります。

×：外部市場における資産の価値

市場で似た資産を参考にする手法は、マーケットアプローチとして知られています。

×：資産の購入、ライセンス供与、およびサポートの初期費用と出費

資産に使ったコストで計る手法としては、コストアプローチとして知られています。

×：組織の生産業務に対する資産価値

将来的に稼ぐであろう利益で計る手法としては、収益アプローチとして知られています。

啓発は、組織の構成員がすでに持っている情報に対して、再度警戒を強めてもらうため周知することです。教育は、組織の構成員が知らない情報をインプットすることです。そのため、啓発と教育違いは、対象者がすでにその情報を知っているかどうかが差異になります。

〇：従業員のセキュリティ意識が変わるような定期的な教育

行動指示型とは、組織的管理として従業員に求められる行動を指示する目的のコントロールです。従業員の意識が変わるような定期的な教育は、行動指示型に該当します。よって正解は、「従業員のセキュリティ意識が変わるような定期的な教育」になります。

×：ドローン監査を利用した遠隔的に指示する防御策

補強的（compensating）な防御策に当たります。

×：物理的な壁による行動心理的な障害とする防御策

物理的（physically）な防御策に当たります。

×：あるアクションを見直す再発防止策の立案

是正的（corrective）な防御策に当たります。

〇：エンティティの完全性

エンティティの完全性は、タプルが主キー値によって一意に識別されることを保証する。 タプルは、2次元データベースの行です。 主キーは、各行を一意にする対応する列の値です。 エンティティの整合性のために、すべてのタプルには1つの主キーが含まれていなければなりません。 タプルにプライマリキーがない場合、タプルはデータベースによって参照されません。

×：並行保全性

並行保全性は、データベースソフトウェアの正式な用語ではないため、正しくありません。整合性サービスには、セマンティック、参照、エンティティの3つの主要なタイプがあります。 並行処理とは、複数のユーザーやアプリケーションが同時にアクセスするソフトウェアのことです。 コントロールが配置されていないと、2人のユーザーが同じデータに同時にアクセスして変更することができます。

×：参照整合性

参照整合性は、既存の主キーを参照するすべての外部キーを参照するため、正しくありません。 存在しないレコードまたはNull値の主キーへの参照が外部キーに含まれないことを保証するメカニズムが存在する必要があります。 異なるテーブル間の関係が正常に動作し、適切にアクセスできるようになります。

×：意味的完全性

意味的完全性は、データベースの構造的および意味的規則が確実に行われるものです。データ型、論理値、一意性制約、およびデータベースの構造に悪影響を及ぼす可能性のある操作に関係します。

〇：処理能力の向上

パーソナルコンピュータとサーバーの処理能力の増加により、数年前には実現できなかったセキュリティ機構に対するブルートフォース攻撃やクラッキング攻撃の成功確率が高くなりました。今日のプロセッサは、1秒あたりに驚くほど多くの命令を実行できます。これらの命令を使用して、パスワードや暗号化キーを壊したり、犠牲者のシステムに悪質なパケットを送信するよう指示することができます。

×：回路の増加、キャッシュメモリ、マルチプログラミング

増加しても特定の種類の攻撃がより強力になるわけではないため、正しくありません。マルチプログラミングとは、複数のプログラムまたはプロセスを同時にメモリにロードすることを意味します。これは、ウイルス対策ソフトウェア、ワープロ、ファイアウォール、および電子メールクライアントを同時に実行できるようにするものです。キャッシュメモリは、高速書き込みおよび読み出し動作に使用されるメモリの一種です。システムでは、処理中に何度も特定の情報にアクセスする必要があるとプログラムロジックが想定している場合、情報をキャッシュメモリに保存して、簡単かつ迅速にアクセスできるようにします。

×：二重モード計算

答えの内容が具体的ではなく、問題への適合性を測れません。マイクロプロセッサの進歩を調べるとき、実際のデュアルモード計算はありません。

×：ダイレクトメモリアクセスI/O

CPUを使用せずにI/O（入出力）デバイスとシステムのメモリ間で命令とデータを転送する方法であるため、正しくありません。ダイレクトメモリアクセスI/Oにより、データ転送速度が大幅に向上します。

監査する組織は、参加対象の組織と独立していることが望ましいでしょう。よって正解は、「独立した監査人」になります。

〇：アクセス制御リスト（ACL）

アクセス制御リスト（ACL）は、オブジェクトへのアクセス制御マトリックスから得ることができます。ACLは、複数のオペレーティングシステム、アプリケーション、およびルータの構成で使用されています。彼らは、特定のオブジェクトへのアクセスを許可されている項目のリストであり、それらは付与される許可のレベルを定義します。認可は、個人またはグループに指定することができます。そのため、ACLはオブジェクトにバインドし、被験者がそれにアクセスできるかを示し、および機能テーブルは、対象にバインドされ、被写体がアクセスできるオブジェクトかを示すされています。

×：機能テーブル

機能テーブルは、アクセス制御マトリックスの行に当たります。

×：制約インタフェース

制約インタフェースは、それらが特定の機能や情報を要求したり、特定のシステムリソースへのアクセスを持っていないようにすることによって、ユーザーのアクセス能力を制限するため、間違っています。

×：ロールベース

ロールベースのアクセス制御（RBAC）モデルは、サブジェクトの役割に応じて特定のオブジェクトに対するアクセス権を決定するためのコントロールです。間違っています。

非対称アルゴリズムでは、すべてのユーザーが少なくとも一つの鍵のペア（秘密鍵と公開鍵）しておく必要があります。公開鍵システムでは、各エンティティは別の鍵を有しています。この環境で必要なキーの数を決定するための式は N ×２の数でになります（Nは配布する人数）。つまり、260×2=520となります。よって正解は、「520」になります。

〇：データの再構築に使用される情報

RAIDは、ハードドライブとそれが保持するデータにフォールトトレランスを提供し、システムパフォーマンスを向上させることができます。 冗長性と速度は、データを分割して複数のディスクに書き込むことによって提供され、異なるディスクヘッドが同時に動作して要求された情報を取り出すことができます。 制御データも各ディスクに分散されています。これはパリティと呼ばれ、1つのディスクに障害が発生した場合、他のディスクが連携してデータを復元できます。

×：新しいデータを作成するために使用される情報

パリティ情報が新しいデータを作成するために使用されるのではなく、紛失または破損したデータを再作成する方法の指示として使用されるため、誤りです。

×：データの消去に使用される情報

パリティ情報はデータの消去には使用されません。紛失または破損したデータを再作成する方法の指示として使用されるため、誤りです。

×：データの構築に使用される情報

パリティ情報を使用してデータは作成されません。紛失または破損したデータを再作成する方法についての指示として使用されるため、誤りです。

フリーウェアとは、無料のソフトウェアであり、無料で使用できます。シェアウェアとは、最初は無料で使用することができる完全に機能するプロプライエタリソフトウェアです。多くの場合、ソフトウェアをテストするためのトライアルでは、30日後に使用を継続するには料金を支払う必要があります。よって正解は、「フリーウェアは永続的に無料ですが、シェアウェアは一定期間無料です。」になります。

「WRT RTO ≦ MTD 」 は、システムを再構築し、本番環境に再挿入するように構成する時間は、MTD以下である必要を示します。

MTDは組織の評判やボトムラインへの深刻で修復不可能な損傷を意味するまでの時間を表します。RTO値は、MTD値よりも小さいです。RTOは、許容可能なダウンタイムの期間があることを前提としています。

オーバーラッピングは、データに0またはランダムな文字を書き込むことによって行われます。破損したメディアに対するオーバーラッピングは不可能です。

クリッパーチップは、米国国家安全保障局（NSA）によって開発され、組み込みのバックドアとして「音声およびデータメッセージ」を保護する暗号化デバイスとして搭載されたチップセットです。ブロック暗号であるSkipJackを使用していました。

〇：コンテンツ配信ネットワーク（CDN）

コンテンツ配信ネットワーク（CDN）は、大域的な位相関係に基づいて、クライアントにコンテンツの配信を最適化するように設計されています。このような設計では、インターネット上の存在の多くのポイントでホストされている複数のWebサーバは、グローバルに同期して同じコンテンツが含まれており、クライアントは通常のためのジオロケーションアルゴリズムに基づいて、DNSレコードの操作を介し、最も近いソースに向けることができます。

×：分散ネームサービス（DNS）

分散ネームサービスというプロトコルが存在しないことで、間違っています。DNSはドメインネームサービスプロトコルを指します。

×：分散型Webサービス（DWS）

分散型Webサービスも不正解の答えですので、間違っています。分散Webサービス・ディスカバリー・アーキテクチャの概念は、IEEE等によって議論がされていますが、正式なプロトコルではありません。

×：コンテンツドメインの分布（CDD）

コンテンツドメインの分布（CDD）という用語はCISSPのCBKの用語では登場しません。

〇：ハクティビスト

政治的な目的でクラッキング行為を行う人をハクティビストといいます。よって正解は、「ハクティビスト」になります。

×：ハッカー

ハッカーとは、コンピュータに詳しい人です。

×：スクリプトキディ

スクリプトキディとは、ITに詳しくないけどツールを使ってサイバー攻撃する人です。中学生という文言がありますが、これだけでスクリプトキディとは断定できません。

×：サイレントマジョリティ

サイレントマジョリティとは、積極的な発言行為をしない一般大衆のことです。

〇：SMTPが適切な認証機構を欠いている。

Eメールのなりすましは、SMTPは適切な認証メカニズムを欠いている場合、実行するのは簡単です。攻撃者は、メールサーバのポート25にTelnetコマンドを送信することにより、電子メールの送信者アドレスを偽装することができます。スパマーは自分が特定されないように、電子メールのスプーフィングを使用しています。よって正解は、「SMTPが適切な認証機構を欠いている。」になります。

「そんなことない！他の選択肢の可能性もあるじゃないか！そんなものをたかが一文で推測するなど不可能！」と聞こえてきそうです。この意見には同意します。ただこのような問題であっても推論して解かなければなりません。選択肢を簡単にまとめると、「認証機能がない」、「設定忘れ」、「フィルタリング機能不全」、「ブラックリスト機能不全」になります。こう並べてみると、「認証機能がない」という回答が最も包含的な回答になってることに気付けるかと思います。

そのほかの解法では、認証と認可の違いを理解していることでも導くことができます。”なりすまし”を防ぐ技術は認証です。認証というキーワードを求めている問題文であると気付けると良いですね。

×：管理者が機能していないドメインのインバウンドSMTP接続を防止する設定を忘れている。

なりすましされている場合には、そのメール送信者も偽装されています。ドメインのインバウンドSMTP接続を防止しても、起こりえます。

×：キーワードフィルタリングによって技術的に廃止されている。

なりすましの対策に対して、キーワードフィルタリングはあまり有効ではありません。よって技術的に廃止されていたとしても原因とは考えにくいでしょう。

×：ブラックリスト機能が技術的に信頼できるものではない。

なりすましされている場合には、そのメール送信者も偽装されています。フィルタリング機能が信頼できなかったとしても、起こりえます。

多層防御（Defense-in-Depth）とは、守るときには一枚岩ではなく、何重にもあらゆる面で保護すべきという考え方です。一つの脆弱性に対して、何段階も防御することが求められているため、”段階的”なという言葉が選択肢の中では近いものと言えます。

「近いのはどれか？」と聞かれておりより良い選択肢を選ぶことが求められているため、「どれでもない」という回答は正解から除外してもいいでしょう。

〇：デジタルミレニアム著作権法

デジタルミレニアム著作権法（Digital Millennium Copyright Act：DMCA）は、著作権物を保護するために設けられたアクセス制御手段を侵害する技術などを犯罪とする米国の著作権法です。よって正解は、「デジタルミレニアム著作権法」になります。

電子書籍を保護する独自の方法を「ロック解除」する方法を見つけたら、この行為を請求することができます。実際の著作権で保護された書籍を誰かと共有しなくても特定の法律は破られており、有罪判決が下されます。

×：COPPA

児童オンラインプライバシー保護法（Children’s Online Privacy Protection Act、COPPA）とは、インターネット上で安全に子どもサイト向けを使えるように、もし何の規約もなしに子どもたちを危機にさらすことを禁止する法律です。

×：連邦プライバシー法

そのような法律はありませんが、近いところで米国連邦データプライバシー法があります。これは、米国の連邦レベルでの包括的な個人情報保護法になります。

×：GDPR

一般データ保護規則（GDPR）とは、データ保護指令をより厳しくしたEU市民のプライバシー法です。

〇：ザックマンフレームワーク

ザックマンフレームワークとは、各職権に対して、何を、どのように、どこで、誰が、いつ、なぜを決めるエンタープライズアーキテクチャです。エンタープライズアーキテクチャとは、事業目標を達成するために経営体制を整えることです。事業目標を達成するために組織を作るわけですが、基本的には事業目標が大きくなるほど組織も大きくなります。組織の構造を整備しておかないと、しなければならない仕事が残留したり、他と被っている権限があるために職務間で軋轢を生む可能性があり、組織は効率的に動かないのです。そこで、組織を整えるためには、各職権のスコープを明確にすることが必要です。ここでいう職権というのは、人事や営業といった観点とは違います。ビジネス目標を達成するために階層的に分離されていると考えるとわかりやすいでしょう。エグゼクティブ、ビジネス管理、アーキテクチャー、エンジニア、下請け業者、利害関係者でそれぞれスコープを明確化します。よって正解は、「ザックマンフレームワーク」になります。

×：SABSA

SABSA（Sherwood Applied Business Security Architecture）とは、ビジネス目標を達成するにあたり、セキュリティ策がちゃんと機能していることを保証するためのフレームワークです。整理する対象のタスクはザックマンフレームワークと異なり階層的な要素になります。ビジネス要件＞概念アーキテクチャ＞論理サービスアーキテクチャ＞物理インフラストラクチャアーキテクチャ＞テクノロジと製品で、それぞれ５W１Hを実践します。

×：Five-W法

このような言葉はありません。あったとしても解釈しやすいように作られた造語です。

×：Bibaモデル

Bibaモデルとは、データが勝手に変更されないことを示すセキュリティモデルの一つです。

〇：主要で利用されている複数の利用法を選別し、対象ブラウザ上で動作するかを確認するべきである。

BtoC向けのサービスであれば、対象となるユーザーをより多くのサポートすべきであると考えられます。よって正解は、「主要で利用されている複数の利用法を選別し、対象ブラウザ上で動作するかを確認するべきである。」になります。

×：ある特定のブラウザ上で動作するかを確認すればよい。

特定のブラウザでは、動作しないユーザーケースがリリース後に起きてしまうかもしれません。

×：最もセキュアなブラウザ上で動作するかを確認する。

セキュアであればブラウザの動きが制限されて、最も制限された中での動作を行うことが期待できます。

しかし、現実にはブラウザバックや端末など、ブラウザの仕様もまた様々です。

×：OS標準のブラウザ上で動作するかを確認する。

ブラウザはOS標準のものだけでありません。現実的にもエンドユーザーは気に入ったブラウザをアプリストアからダウンロードして利用しています。

〇：同時に実行されているプロセス。適切に制御されていないとデータベースの整合性に悪影響を与える可能性がある。

データベースは、多くの異なるアプリケーションによって同時に使用され、多くのユーザーが一度にそれらとやり取りします。同時実行性とは、異なるプロセス（アプリケーションおよびユーザー）が同時にデータベースにアクセスしていることを意味します。これが適切に制御されないと、プロセスは互いのデータを上書きしたり、デッドロック状況を引き起こしたりする可能性があります。並行処理の問題の最悪の結果は、データベース内に保持されているデータの整合性の低下です。データベースの整合性は、並行性保護メカニズムによって提供されます。同時実行制御は一つは、ロックです。ユーザーが他のユーザーによって使用されているデータにアクセスしたり変更したりすることはできません。

×：異なるレベルで実行されているプロセス。適切に制御されていないとデータベースの整合性に悪影響を与える可能性がある。

並行処理は異なるレベルではなく、同時に実行されているプロセスを参照するため、正しくありません。 並行処理の問題は、異なるユーザーやアプリケーションによって同時にデータベースにアクセスできる場合に発生します。 コントロールが適切に配置されていないと、2人のユーザーが同じデータに同時にアクセスして変更することができ、動的環境に有害になる可能性があります。

×：アクセス可能なデータのレビューから新しい情報を推測するプロセス。推論攻撃が発生する可能性がある。

アクセス可能なデータをレビューすることから新しい情報を推測する能力は、より低いセキュリティレベルのユーザーが、より高いレベルのデータを間接的に推論する場合に生じます。これは、推論攻撃につながる可能性がありますが、並行性には関係しません。

×：データベース内の複数の場所にデータを格納するプロセス。正しく制御されていないとデータベースの整合性に悪影響を与える可能性がある。

複数の場所にデータを格納することは並行性に問題がないため、正しくありません。2人のユーザーまたはアプリケーションが同じデータを同時に修正しようとしているとき、並行性は問題になります。

〇：ウォーターフォール

ウォーターフォールとは、一方向的で各フェーズは次のフェーズに直接つながります。純粋なウォーターフォールモデルでは、前のフェーズに戻ることはできません。よって正解は、「ウォーターフォール」になります。

×：アジャイル

アジャイルとは、システム開発は柔軟にやった方が良いという考え方です。適応計画、進化的開発、早期提供、継続的改善に重きを置き、トライアルアンドエラーな開発手法です。アジャイルは従来のプロセスをモデル化する考え方とは異なり、主義や主張をチーム全体で共有し、あらゆる状況にも対応する試みです。

×：サシミ

SASHIMIモデルとは、各フェーズの終点と始点の並行稼働を許したシステム開発プロセスのモデルです。多くの場合、成果物の提出・レビューをもって次のフェーズに移行するウォーターフォールモデルが利用されます。ただ実際には、引き渡し後に要件が変わったことで修正する場合もあります。

×：スパイラル

スパイラルモデルとは、各機能ごとに設計からテストを繰り返して開発していく手法です。計画・分析・設計・実装・試験・評価から成る一連のプロセスを一つのプロジェクト内で何度も繰り返し、次第に完成度を高めていく方式です。ソフトウェアプロジェクトでは、これらのフェーズを繰り返します。

〇：ファイルシステム情報のオペレーティングシステムへのアンチマルウェアの呼び出しを傍受する。

正しく”ない”ものを選ぶ問題です。ポリモーフィック型ウィルスは、アンチマルウェアスキャナを欺くことを試みます。特に、操作上のコピーを生成する方法がとられます。 マルウェア対策ソフトウェアが1つまたは2つのコピーを検出して無効にしても、他のコピーはシステム内でアクティブのままになります。よって正解は、「ファイルシステム情報のオペレーティングシステムへのアンチマルウェアの呼び出しを傍受する。」になります。

この問題は消去法で解く必要があります。どのような定義がポリモーフィック型ウィルスであるか？という単語帳的な覚え方をしていると、何がポリモーフィック型ウィルスの特徴であるかを理解していない可能性があります。ポリモーフィック型ウィルスの最も特出すべき点は、実体が繰り返し変更される点にあります。

×：ノイズ、突然変異エンジン、または乱数ジェネレータを使用して命令のシーケンスを変化させる。

ポリモーフィック型ウィルスはノイズや偽の指示を他の有用な指示とともに含むことにより、指示の順序を変える可能性があります。また、突然変異エンジンと乱数ジェネレータを使用して、検出されないことを期待して命令のシーケンスを変更することもできます。 元の機能はそのままですが、コードが変更され、固定シグネチャを使用してウイルスのすべてのバージョンを識別することが不可能に近づきます。

×：異なる復号ルーチンを必要とする異なる暗号化方式を使用できる。

ポリモーフィック型ウィルスは異なる暗号化ルーチンを必要とする異なる暗号化方式を使用できます。 これには、このタイプのウイルスのすべてのコピーを識別するために、可能な解読方法ごとに1つずつアンチマルウェアスキャンが必要です。 ポリモーフィック型ウィルス作成者は、暗号化されたウイルスのペイロードを隠し、コードに解読メソッドを追加します。 いったん暗号化されるとそのコードは無意味になりますが、だからと言って暗号化されたウイルスは必ずしもポリモーフィック型ウィルスであるとは限らないため検知からも逃れます。

×：複数の様々なコピーを作成する。

ポリモーフィック型ウィルスは、マルウェア対策ソフトウェアによる検出を避けるために、複数のさまざまなコピーを生成します。

〇：DDoS攻撃

可用性とは、サービスの継続性を示すCIAトライアドの性質の一つです。サービスの継続性を脅かす攻撃は、大量のリクエストを送付し、サービスダウンを行うDDoS攻撃が該当します。よって正解は、「DDoS攻撃」になります。

×：ホエーリング

ホエーリングとは、社会的に認知されている人・組織に狙いを定めるスピア・フィッシング攻撃です。

×：TOC/TOU

TOC/TOUとは、ある条件をチェックしてから、そのチェック結果を使用するまでの間にシステムが変更されることで発生するソフトウェアのバグです。多くの場合、ファイルを探してからファイルを読む間に別のファイルに差し替えてしまう攻撃です。

×：DRAM

RAM（Random Access Memory）とは、CPUや画面表示などに利用するときに使うメモリです。DRAMとは、短時間しか保存されないし、定期的リフレッシュが必要なRAMです。

MAC（強制アクセス制御）とは、機密性が最も重要な場合によく使用されます。アクセスは、オブジェクトラベルとサブジェクトクリアランスによって決定されます。

〇：情報をいかなる特別な努力をもってしても物理的に回復不能にすること。

パージは、ディスクから機密データを削除することです。ディスク上のファイルをソフトウェア的に削除しても、ディスク上データの所在との紐づけを切り離しているだけで、実際にはデータは消えません。これにより、機密性の高い情報が含まれているディスク上のデータを完全に消去できない場合は、物理的な破壊も必要になってきます。

×：媒体上の原子の偏光を変化させること。

パージの説明ではありません。

×：同じ目的のために同じ物理環境でメディアを再利用することは承認しないこと。

このような承認プロセスは実際には存在するかもしれませんが、データ削除としてのパージの説明ではありません。

×：メディア上のデータを上書きすることによって回復不能にすること。

単に新しい情報でメディアを上書きしても、以前に書き込まれた情報を回復する可能性は排除できません。

よって、パージの説明には当てはまりません。

タイプ1認証とはあなたが知っていることを認証情報として扱います。パスワード、パスフレーズ、PINなどによって達成され知識要素とも呼ばれます。

〇：速やかに従業員専用のアカウントを利用停止すること。

プロビジョニングとは、システムで使用するアカウントを追加することです。反対にアカウントを削除することをデプロビジョニングと言います。従業員が離職したタイミングにおいて、従業員のアカウントを停止するべきです。元社員に対して組織のリソースへのアクセス権限を与えることは情報漏洩になります。よって正解は、「速やかに従業員専用のアカウントを利用停止すること。」になります。

×：従業員の貸し出しパソコンを回収すること。

プロビジョニングではありませんが、従業員が離職したタイミングで行うべきことではあります。

×：NDAを結ぶこと。

秘密保持契約（NDA, Non-Disclosure Agreement）とは、取引上で知った相手方の営業秘密などを、他人に開示することを禁止する契約のことです。プロビジョニングではありません。

×：従業員の個人連絡先を確保すること。

通常の会社であればそのようなプライベートな情報を離職時に集めようとはしません。プロビジョニングではありません。

〇：固定されたメンバーで会議を実施し、人数はできるだけ少ない方がよい。

BCP委員会は、組織内の各部門を代表するために必要な規模でなければなりません。各部門が独自の機能と独特のリスクと脅威を持っているため、社内のさまざまな部門に精通した人で構成されている必要があります。すべての問題と脅威が持ち込まれ、議論されたときに策定されていきます。これは、少数の部門や少数の人々と効果的に行うことはできません。委員会は、少なくとも事業部、上級管理職、IT部門、セキュリティ部門、通信部門、法務部門の担当者から構成されていなければなりません。

×：委員のメンバーは、計画段階、テスト段階、実施段階に関与する必要があります。

委員会のメンバーが計画段階とテスト段階および実装段階に関与する必要があることが正しいため、回答としては正しくありません。 BCPのコーディネーターであるマシュー氏が優れた経営リーダーであれば、チームメンバーに自分の任務や役割に関わる所有権を感じさせるのが最善である考えるでしょう。 BCPを開発する人々も、それを実行する人でなければなりません。危機の時期にいくつかの重要なタスクが実行されることが予想される場合は、計画とテストのフェーズでさらに注意を払う必要があります。

×：事業継続コーディネーターは、経営陣と協力して委員会メンバーを任命すべきである。

BCPコーディネーターが管理職と協力して委員会メンバーを任命する必要があるため、間違っています。また、経営陣の関与はそこで終わりません。 BCPチームは、経営陣と協力して計画の最終目標を立て、災害時に最初に処理しなければならないビジネスの重要な部分を特定し、部門やタスクの優先順位を確認する必要があります。また経営陣は、チームにプロジェクトの範囲と具体的な目標を指示するのに役立つ必要があります。

×：チームは、社内のさまざまな部門の人で構成する必要があります。

チームが社内の異なる部門の人で構成されるべきであるため、正しくありません。これは、チームが各部門が直面する組織に応じたリスクと脅威を考慮する唯一の方法になります。

ウォーダイヤリング（War Dialing）とは、非公開の社内ネットワーク向けのダイヤルアップ回線などを求めて、無差別にダイヤルアップを繰り返すクラッキング行為のことです。電話番号のリストを自動的にスキャンし、通常はローカルエリアコードのすべての番号にダイアルして、モデム、コンピュータ、掲示板システム、およびFAXマシンを検索します。

〇：定型的トランザクション

クラーク・ウィルソン（Clark-Wilson）モデルでは、被験者はこのアクセスがどのように行われるかを制御する何らかのタイプのアプリケーションまたはプログラムを経由することなく、オブジェクトにアクセスすることはできません。サブジェクト（通常はユーザ）はアプリケーションに連動する形で、「定型的トランザクション」として定義されているアプリケーションソフトウェア内のアクセスルールに基づいて必要なオブジェクトにアクセスできます。

×：チャイルドウォールモデル

ユーザーの以前の行動に応じて動的に変更できるアクセスコントロールを提供するために作成されたBrewer Nashモデルの別の名前であるため、間違っています。これは、アクセス試行や利害の衝突から形作られるもので、被験者と物体との間に情報が流れることはありません。このモデルでは、サブジェクトが異なるデータセットにある別のオブジェクトを読み取れない場合にのみ、サブジェクトがオブジェクトに書き込むことができます。

×：アクセスタプル

Clark-Wilsonモデルはアクセスタプルではなくアクセストリプルを使用するため、正しくありません。アクセストリプルは、対象プログラムオブジェクトである。これは、サブジェクトが認可されたプログラムを通じてオブジェクトにのみアクセスできることを保証します。

×：Write Up及びWrite Down

Clark-WilsonモデルにはWrite Up及びWrite Downがないため、正しくありません。これらのルールはBell-LaPadulaとBibaモデルに関連しています。 Bell-LaPadulaモデルには、読み込まれていない単純なセキュリティルールと、書き留められていないスタープロパティルールが含まれています。 Bibaモデルには、読み込まれていないシンプル完全性公理と、書かれていないスター完全性公理が含まれています。

〇：ソケット

UDP（User Datagram Protocol）とTCP（Transmission Control Protocol）は、アプリケーションがネットワークを介してデータを取得するために使用するトランスポートプロトコルです。 どちらも、ポートを使用して上位のOSIレイヤと通信し、同時に発生するさまざまな会話を追跡します。 ポートは、他のコンピュータがどのようにサービスにアクセスするかを識別するために使用されるメカニズムでもあります。 TCPまたはUDPメッセージが形成されるとき、送信元および宛先ポートは、送信元および宛先IPアドレスとともにヘッダ情報内に含まれます。このIPアドレスとポート番号をソケットと言います。IPアドレスはコンピュータへの出入口として機能し、ポートは実際のプロトコルまたはサービスへの出入口として機能します。

×：IPアドレス

IPアドレスがサービスやプロトコルとの通信方法をパケットに伝えていないため、間違っています。 IPアドレスの目的は、ホストまたはネットワークインタフェースの識別とロケーションのアドレッシングです。 ネットワーク内の各ノードには一意のIPアドレスがあります。 この情報は、送信元ポートおよび宛先ポートとともに、ソケットを構成します。 IPアドレスはどこに行くべきかをパケットに伝え、ポートは適切なサービスまたはプロトコルとの通信方法を示します。

×：ポート

ポートはパケットに適切なサービスまたはプロトコルとの通信方法のみを通知するため、正しくありません。 それはどこに行くべきかをパケットに伝えません。 IPアドレスはこの情報を提供します。 ポートは、TCPやUDPなどのIPプロトコルで使用される通信エンドポイントです。 ポートは番号で識別されます。

×：フレーム

フレームは、データリンク層にヘッダとトレーラが与えられた後にデータグラムを参照するために使用される用語であるため、間違っています。

〇：ワンタイムパッド

ストリーム暗号は、ワンタイムパッドの技術を参照しています。

×：AES

AESは対称ブロック暗号であるため、正しくありません。ブロック暗号は、暗号化および復号の目的で使用される場合、メッセージはビットのブロックに分割されます。

×：ブロック暗号

ブロック暗号は、暗号化および復号化目的のために使用されます。メッセージは、ビットのブロックに分割されているため、間違っています。

×：RSA

RSAは、非対称アルゴリズムであるため、正しくありません。

脅威が少なくとも、脆弱性が致命的なものであれば、多大な影響つまりリスクとなります。そのため、四則演算の関係で最もよく示したのは乗数（×）になります。

〇：MTTR

平均修復時間（MTTR）は、デバイスを修理して故障前の生産に戻すのに要する平均時間です。冗長アレイを例にすると、MTTRは、実際の障害に気づいた後に障害のあるドライブを交換し、冗長アレイが新しいドライブの情報の書き換えを完了した時刻までの時間です。よって正解は、「MTTR」になります。

×： SLA

サービス品質保証（SLA、Service Level Agreements）とは、利用量や障害復旧などのサービス品質の合意になります。

×：ホットスワップ

ホットスワップとは、機器を稼動させたまま、部品やケーブルなどを交換、装着、抜去することです。

×：MTBF

平均稼働時間（MTBF）とは、デバイスを修理してから故障するまでに要する平均時間です。

キャプティブポータルとは、端末がネットワークに接続した際にユーザー認証や利用者登録、利用者同意などを行うまで外部との通信を制限する仕組みです。

〇：PCI DSS

PCI DSS（Payment Card Industry Data Security Standard）とは、電子決済するときの個人情報流出を避けるためのフレームワークです。よって正解は、「PCI DSS」になります。

ちなみに、「考えられるものはどれでしょうか？」という聞き方をされると、他のフレームワークも利用しているかもしれないではないか、と反論したくなります。しかし、CISSPの試験では”最も妥当である”という選択肢を選ばないといけないケースもあるでしょう。よって、このような表現にしております。

×：HITECH

経済的及び臨床的健全性のための医療情報技術に関する法律（HITECH）とは、HIPPAの強化版であり、データ管理だけではなく医療関係の事業提携者に対しても適用する法律です。

×：OCTAVE

OCTAVEとは、CERTで紹介されているリスク評価のフレームワークの一つです。

×：COBIT

COBITとは、企業のITガバナンスの成熟度を測るフレームワークです。 アメリカの情報システムコントロール協会（ISACA）とITガバナンス協会（ITGI）が提唱しました。

鍵供託方式（キーエスクローシステム） とは、第三者機関が公開鍵と秘密鍵のペアのコピーを保持することです。秘密鍵は盗まれるとすべての暗号を復号できてしまいます。逆にいえば、無くすとすべて復号できなくなります。そのため、控えを用意しておきたいのです。ですが自分が持っていると、侵入されたら盗まれてしまうかもしれないため、第三者機関に預けるのです。よって正解は、「鍵の冗長性」になります。

〇：環境設計防犯（CPTED）

環境設計防犯（CPTED）は、物理的な環境の適切な設計によって、犯罪を減らすことができる方法です。これは、適切な施設の建設と環境要素と防犯のガイダンスを提供します。物理的な環境が犯罪を削減する行動効果に誘導するために利用されます。

×：多層防御モデル  

多層防御モデルは、物理的、論理的、および管理セキュリティコントロールの階層アーキテクチャであるため、正しくありません。コンセプトは、1つの層が失敗した場合、他の層によって資産を保護することです。レイヤーは、資産に向かって周囲から移動し実装する必要があります。

×：あいまいさによる隠蔽

あいまいさによる隠蔽は、情報の隠蔽によって担保された隠蔽のテクニックであり、正しくありません。基本的に、公開していなくとも、それが論理的に到達可能である場合には、真の秘密であると思わないほうがよいでしょう。

×：アクセス制御

アクセス制御は、人々が入るとドア、フェンス、照明、景観の配置による誘導であるため、正しくありません。抽象的な概念であり、社会学を兼ね備えている具体的な定義に当てはまらないでしょう。

オニオンルーティングとは、ルータを経由する度に暗号化を施すため、何重にも暗号化が施されるという特徴がある。しかし、ルータの最終地点ではすべての暗号化が復号され、平文となるため最終地点ルータでのセキュリティ機能はありません。

米軍複合施設および国家安全装置の中で、データ分類の最も一般的な名称は分類されていない・分類されているになります。 「分類された」情報には、機密、重要機密、および最重要機密（トップシークレット）があります。機密データとは、不適切に開示された場合、国家安全保障に害を及ぼす可能性のあるデータです。重要機密データとは、不適切に開示された場合、国家安全保障に「深刻な」害を及ぼす可能性のあるデータです。最後に、最重要機密のデータは、不適切に開示された場合、国家安全保障に「重大な」害を及ぼす可能性のあるデータです。

〇：スケジュールを見直す。

単体テストとは、開発したモジュールが単体で動くことを確認するテストです。受入テストとは、開発を発注してくれたお客様に実際に使ってもらって納得してもらうテストです。単体テストの代わりに、受入テストで行うことはできません。テストとして上位互換ではなく、観点が異なるからです。よって正解は、「スケジュールを見直す。」になります。

×：作業効率のために単体テストは行わない。

単体テストを実施しないということはありません。

×：できなかった単体テスト分、受入テストの項目数を増やす。

実質単体テストで行うべき項目を受入テストとして計上しているだけで、単体テストが終わっているとは見なされません。これは、隠蔽にも近しい行為です。

×：上司に報告する。

プロジェクト管理の担当者はあなたです。