Certified Information Systems Security Professional

D

正確答案：應有的注意 布萊克法律詞典將應有的注意定義爲“在情況需要的情況下，公正、適當和充分的注意；不存在疏忽”。這意味着應有的謹慎包括採取合理的措施來防止傷害或減輕風險，就像謹慎的人在類似情況下會採取的那樣。它反映了負責任地行事並避免疏忽行爲的義務。另一方面，盡職調查被定義爲“在特定情況下合理和謹慎的人應該適當期望並通常執行的謹慎、活動或勤奮的措施”。盡職調查是指在做出決定之前進行的調查工作，確保充分了解風險和義務。道德標準是定義對錯的個人或公司準則，但並不具體涉及應有的謹慎或盡職調查等法律義務。“人類合理性”不是公認的法律或網絡安全術語。CISSP 一體化考試指南，第 8 版。第 147-148 頁、1053-1056 頁。官方 (ISC)² CISSP CBK 參考，第 6 版。點燃版。第 22 頁。CISSP 一體化考試指南，第 9 版。點燃版。第 158-159 頁。(ISC)² 認證信息系統安全專家 (CISSP) 官方學習指南，第 10 版（ISBN：978-1394254699）。第 27、44、771 頁。

C

正確答案：目的限制 歐盟的《通用數據保護條例》(GDPR) 旨在保護公司持有的個人信息。GDPR 使用多項條款來實現其目標。目的限制條款要求記錄並披露數據被處理的原因。合法、公平、透明的規定要求個人信息處理有法律依據，禁止以不利於數據主體的方式處理數據，並要求數據處理相關活動透明。完整性和保密性規定需要安全控制來保護個人信息免遭未經授權的訪問。存儲限制是指僅在需要時保留數據。該條款是衆所周知的“被遺忘權”的來源。官方 (ISC)² CISSP CBK 參考，第 6 版。點燃版。第 44-47 頁。CISSP 一體化考試指南，第 9 版。點燃版。第 143-144 頁。(ISC)² 認證信息系統安全專家 (CISSP) 官方學習指南，第 10 版（ISBN：978-1394254699）。第 175、210、215 頁。

A

正確答案：一般數據保護條例 歐盟的一般數據保護條例 (GDPR) 旨在保護個人的個人信息，並就如何傳輸和使用這些信息制定具體規則。安全港是一項已失效的美國法規，要求美國公司根據歐盟的要求保護數據。歐盟法院系統發現其不足，並被歐盟-美國隱私護盾所取代。歐洲法院也認爲這一點不夠。1988 年《隱私法》是澳大利亞的一項法律，要求保護個人信息。《個人信息保護和電子文件法》(PIPEDA) 是加拿大立法。官方 (ISC)² CISSP CBK 參考，第 6 版。點燃版。第 12 頁。CISSP 一體化考試指南，第 9 版。點燃版。第 143-145 頁。(ISC)² 認證信息系統安全專家 (CISSP) 官方學習指南，第 10 版（ISBN：978-1394254699）。第 175、215、218 頁。

C

正確答案：縮減分析 縮減分析通過識別潛在威脅的常見元素來支持威脅建模。如果密碼攻擊是多個應用程序共有的威脅，但每個應用程序都依賴 Microsoft Active Directory 進行身份驗證和授權，則只需對 Microsoft Active Directory 進行一次密碼攻擊評估（並非針對每個應用程序）。其他答案都不是直接支持威脅建模的活動。標記化是將敏感數據元素映射到識別標記並將其替換爲識別標記的技術，該標記本身如果泄露則不敏感。取消配置是指停用或撤銷用戶帳戶。取消配置過程是卸載過程的子集（通常在卸載過程中完成）。地理圍欄是移動設備中常用的一項安全功能，用於根據位置限制訪問。地理圍欄建模是一種基於地理圍欄的干擾答案。CISSP 一體化考試指南，第 9 版。點燃版。第 386-387 頁。(ISC)² 認證信息系統安全專家 (CISSP) 官方學習指南，第 10 版（ISBN：978-1394254699）。第 30-31、33 頁。

D

Correct answer: Authority Social engineering aims to exploit human nature.These are some common principles of human nature that social engineers exploit: The threat actor is acting as Acme Inc.'s executive, a position of authority, so authority is the best answer here.(ISC)² 認證信息系統安全專家 (CISSP) 官方學習指南，第 10 版（ISBN：978-1394254699）。Pg 91-93.