CISSP 試験練習問題

A

正解: 管理コントロール 管理コントロールは、管理コントロールと呼ばれることもあります。これらには、採用プロセス、身元調査、データ分類要件、データのラベル付け、ポリシー、セキュリティ意識、トレーニングなど、組織のセキュリティ プログラムによって定義されたポリシーや手順が含まれます。手順は管理制御のサブセットです。論理制御と技術制御は同じものであり、ハードウェア、ソフトウェア、コードなどを含む制御を指します。公式 (ISC)² CISSP CBK Reference、第 6 版。Kindle版。131～132ページ。CISSP オールインワン試験ガイド、第 9 版。Kindle版。ページ 83. (ISC)² Certified Information Systems Security Professional (CISSP) 公式学習ガイド、第 10 版 (ISBN: 978-1394254699)。81ページ、1037ページ。

D

正解：リスク移転 リスク移転とは、リスクが他人に移転されることです。たとえば、保険会社に支払う場合、リスクが実現した場合には保険会社が支払いの責任を負うことになります。ソフトウェアのパッチ適用は、リスクの軽減に重点を置いたリスク軽減の一例です。何も行動を起こさないことは、リスクを受け入れることの一例です。ただし、リスクを受け入れる前に、費用対効果の分析を実行する必要があります。リスクの延期は、標準的なリスク対応または用語ではありません。リスクを先送りすることは、通常、リスク回避とみなされます。公式 (ISC)² CISSP CBK リファレンス、第 6 版。Kindle版。73 ページ。CISSP オールインワン試験ガイド、第 9 版。Kindle版。ページ 122. (ISC)² Certified Information Systems Security Professional (CISSP) 公式学習ガイド、第 10 版 (ISBN: 978-1394254699)。74～76ページ。

C

正解: VAST VAST は、Visual、Agile、Simple Threat の略です。VAST は、アジャイル プログラミングの概念を使用して脅威のモデリングを実行します。STRIDE は、スプーフィング、改ざん、否認、情報開示、サービス拒否、特権昇格の略です。これは、ソフトウェア開発者がソフトウェア システム内の潜在的なセキュリティ脅威を体系的に特定して軽減するのに役立つ、考えられる問題に焦点を当てるために Microsoft によって発明されました。TRIKE は、Threat Representation、Intelligence、Knowledge Engine の略です。これは、サイバー脅威をシミュレートし、組織がシステムやネットワークの脆弱性を特定して軽減できるようにすることに重点を置いた脅威モデリング フレームワークです。PASTA は、Process of Attack Simulation and Threat Analysis の略です。これにより、潜在的な脅威を特定できます。これは、アプリケーションおよび IT システムに使用できます。(ISC)² Certified Information Systems Security Professional (CISSP) 公式学習ガイド、第 10 版 (ISBN: 978-1394254699)。29、31、33ページ。

C

正解: 資産価値 (AV) 資産価値 (AV) は、資産の金銭的価値の単純な最終残高です。資産の価値を取得することは、リスク評価の最初のステップの 1 つです。次に、AV に露出係数 (EF) を乗算して、単一損失期待値 (SLE) を決定します。SLE は、特定の種類の 1 つのインシデントのコストです。年間発生率 (ARO) は、1 年間にインシデントが発生すると予想される回数 (例: 年に 8 回 (8/1))、または発生間の年数 (例: 5 年に 1 回 (1/5)) です。その後、SLE と ARO を掛け合わせて、年間損失期待値 (ALE) が計算されます。公式 (ISC)² CISSP CBK Reference, 6th Edition。Kindle版。71 ページ。CISSP オールインワン試験ガイド、第 9 版。Kindle版。72～73ページ。(ISC)² Certified Information Systems Security Professional (CISSP) 公式学習ガイド、第 10 版 (ISBN: 978-1394254699)。70、113、136ページ。

D

正解: ホット サイト ホット サイトには、IT システムの即時機能と接続に必要なリソースがすべて含まれているため、最も迅速な回復機能が提供されます。ホットなサイトには、人と一部のデータだけが欠けています。ホット サイトは、高可用性 (HA) の確保に役立ちます。ただし、HA サイトは、災害復旧サイトの種類を表す標準的な用語ではありません。ウォーム サイトは基本的にはコールド サイトですが、コンピューターと通信リンクがすでに設置されており、オペレーティング システムとデータを読み込む準備ができています。相互協定では、2 つの組織が災害時に自組織のデータ センターを利用できることを約束しますが、相互サイトに移動して業務を開始するには時間がかかる場合があります。他の会社のサイトにはデータがまったくなく、他の会社が一部のシステムへのアクセスを解放するのに時間がかかる可能性があるため、これは速くありません。公式 (ISC)² CISSP CBK リファレンス、第 6 版。Kindle版。ページ 527。CISSP オールインワン試験ガイド、第 9 版。Kindle版。1043～1045ページ。(ISC)² Certified Information Systems Security Professional (CISSP) 公式学習ガイド、第 10 版 (ISBN: 978-1394254699)。891、916、1105ページ。