CISSP 試験練習問題

D

正解: 適正な配慮 適正な配慮は、ブラック法辞典では「状況が要求する限り、正当、適切、および十分な配慮、過失がないこと」と定義されています。これは、適切な注意には、同様の状況下で賢明な人が行うような方法で危害を防止したりリスクを軽減したりするための合理的な措置を講じることが含まれることを意味します。これは、責任を持って行動し、不注意な行動を避ける義務を反映しています。一方、デューデリジェンスは、「特定の状況下で合理的かつ賢明な人間に適切に期待され、通常は行使されるような、慎重さ、活動性、または勤勉さの尺度」と定義されています。デューデリジェンスとは、リスクと義務が十分に理解されていることを確認するために、意思決定を行う前に行われる調査の取り組みを指します。倫理基準は、何が正しいか間違っているかを定義する個人または企業のガイドラインですが、デュー・ケアやデュー・ディリジェンスのような法的義務には特に関係しません。「人間の合理性」は、法律用語またはサイバーセキュリティ用語として認識されていません。CISSP オールインワン試験ガイド、第 8 版。147～148ページ、1053～1056ページ。公式 (ISC)² CISSP CBK リファレンス、第 6 版。Kindle版。22 ページ。CISSP オールインワン試験ガイド、第 9 版。Kindle版。158～159ページ。(ISC)² Certified Information Systems Security Professional (CISSP) 公式学習ガイド、第 10 版 (ISBN: 978-1394254699)。27、44、771ページ。

C

正解: 目的の制限 欧州連合の一般データ保護規則 (GDPR) は、企業が保有する個人の個人情報を保護することを目的としています。GDPR は、その目標を達成するためにいくつかの規定を使用します。目的制限条項では、データが処理される理由の文書化と開示が求められます。合法性、公平性、透明性の規定では、個人情報処理の法的根拠が必要であり、データ主体に有害な方法でのデータ処理を禁止し、データ処理関連活動の透明性が求められます。完全性と機密性の規定には、個人情報を不正アクセスから保護するためのセキュリティ管理が必要です。ストレージ制限は、必要な期間だけデータを保持するための要件です。この規定は、よく知られている「忘れられる権利」の源です。公式 (ISC)² CISSP CBK Reference、第 6 版。Kindle版。44～47ページ。CISSP オールインワン試験ガイド、第 9 版。Kindle版。143～144ページ。(ISC)² Certified Information Systems Security Professional (CISSP) 公式学習ガイド、第 10 版 (ISBN: 978-1394254699)。175、210、215ページ。

A

正解: 一般データ保護規則 EU の一般データ保護規則 (GDPR) は、個人の個人情報を保護し、その転送および使用方法に関する特定のルールを設定することを目的としています。セーフハーバーは、EU の要件に従ってデータを保護することをアメリカ企業に義務付ける、今はなきアメリカの規制です。EU の裁判所制度では不十分であることが判明し、EU-米国間のプライバシー シールドに置き換えられました。これも欧州の裁判所によって不十分であると認められています。1988 年プライバシー法は、個人情報の保護を義務付けるオーストラリアの法律です。個人情報保護および電子文書法 (PIPEDA) はカナダの法律です。公式 (ISC)² CISSP CBK リファレンス、第 6 版。Kindle版。12 ページ。CISSP オールインワン試験ガイド、第 9 版。Kindle版。143～145ページ。(ISC)² Certified Information Systems Security Professional (CISSP) 公式学習ガイド、第 10 版 (ISBN: 978-1394254699)。175、215、218ページ。

C

正解: 削減分析 削減分析は、根底にある脅威に共通する要素を特定することで脅威のモデリングをサポートします。パスワード攻撃が複数のアプリケーションに共通の脅威であるが、それらの各アプリケーションが認証と認可に Microsoft Active Directory に依存している場合、パスワード攻撃について Microsoft Active Directory を評価する必要があるのは (アプリケーションごとではなく) 1 回だけです。他の回答はいずれも、脅威モデリングを直接サポートするアクティビティではありません。トークン化とは、機密データ要素をマッピングし、公開されてもそれ自体は機密ではない識別トークンに置き換える手法です。プロビジョニング解除とは、ユーザー アカウントの非アクティブ化または取り消しです。プロビジョニング解除プロセスは、オフボード プロセスのサブセットです (通常はオフボード プロセス中に完了します)。ジオフェンシングは、位置に基づいてアクセスを制限するためにモバイル デバイスで一般的に使用されるセキュリティ機能です。ジオフェンス モデリングは、ジオフェンスに基づいた注意をそらすための解答です。CISSP オールインワン試験ガイド、第 9 版。Kindle版。386～387ページ。(ISC)² Certified Information Systems Security Professional (CISSP) 公式学習ガイド、第 10 版 (ISBN: 978-1394254699)。30～31、33ページ。

D

正解: 権威 ソーシャル エンジニアリングは、人間の性質を利用することを目的としています。これらは、ソーシャル エンジニアが悪用する人間性の一般的な原則です。 脅威アクターは、Acme Inc. の役員、つまり権威ある立場として行動しているため、ここでは権威が最良の答えです。(ISC)² Certified Information Systems Security Professional (CISSP) 公式学習ガイド、第 10 版 (ISBN: 978-1394254699)。91～93ページ。