表には、場所、シャーシ製造元、OS、アプリケーション開発者、ベンダーなど、製品に関する詳細情報が表示されます。このタイプの情報は通常、サプライ チェーン評価で評価され、さまざまなサプライヤーのコンポーネントとサービスのセキュリティと信頼性を評価します。
サプライチェーン評価が必要な理由
* コンポーネント評価: ハードウェア、ソフトウェア、サードパーティのサービスなど、製品で使用される各コンポーネントの起源とセキュリティを評価します。
* ベンダーの信頼性: コンポーネントまたはサービスの提供に関与するベンダーのセキュリティ慣行と信頼性を評価します。
* リスク管理: サードパーティ コンポーネントの脆弱性や安全でない開発手法など、サプライ チェーンに関連する潜在的なリスクを特定します。
その他の種類の評価は、提供された詳細なサプライヤーおよびコンポーネント情報と一致しません。
* A. システム: 広範なサプライ チェーンではなく、個々のシステムのセキュリティに重点を置きます。
* C. 定量的: サプライヤー情報ではなく、数値的なリスク評価に重点を置きます。
* D. 組織: 外部サプライヤーではなく、内部の組織慣行に焦点を当てます。
参考文献:
* CompTIA SecurityX 学習ガイド
* NIST 特別出版物 800-161、「連邦情報システムおよび組織向けサプライ チェーン リスク管理プラクティス」
* 「サプライチェーンセキュリティのベストプラクティス」、ガートナーリサーチ

ログ スニペットは DNS AXFR (ゾーン転送) 要求を示しています。これは、攻撃者が内部ネットワークのインフラストラクチャに関する詳細な情報を収集するために悪用される可能性があります。このリスクを軽減するには、DNS ゾーン転送を無効にするのが最善の解決策です。ゾーン転送は、攻撃中に横方向の移動を容易にする機密ネットワーク情報を公開する可能性があるため、通常は承認されたセカンダリ DNS サーバーに制限し、パブリックにアクセスできないようにする必要があります。
参考文献:
* CompTIA SecurityX 学習ガイド: ゾーン転送の制限など、DNS 構成のセキュリティ保護の重要性について説明します。
* NIST 特別出版物 800-81、「安全なドメイン ネーム システム (DNS) 導入ガイド」:
情報漏洩を防ぐために、DNS ゾーン転送を制限または無効にすることを推奨します。

不正な BYOD (Bring Your Own Device) 使用のリスクを軽減するには、組織は条件付きアクセスとネットワーク アクセス制御 (NAC) を実装する必要があります。
条件付きアクセスと NAC が必要な理由
* 条件付きアクセス:
* ユーザーとデバイスのバインド: 条件付きアクセス ポリシーにより、登録済みで準拠しているデバイスのみが企業リソースにアクセスできるように設定できます。
* コンテキスト認識型セキュリティ: ユーザー ID、デバイスのコンプライアンス、場所など、アクセス試行のコンテキストに基づいてアクセス制御を適用します。
* ネットワーク アクセス制御 (NAC):
* デバイス構成要件: NAC は、特定のセキュリティ構成を満たすデバイスのみがネットワークに接続できるようにします。
* アクセス制御: ネットワーク アクセスをきめ細かく制御し、BYOD デバイスがアクセスする前にセキュリティ ポリシーに準拠していることを確認します。
その他のオプションは便利ですが、BYOD デバイスを効果的に制御および保護するという特定のニーズには対応していません。
* A. トークンベースの MFA を適用する Cloud IAM: 認証セキュリティを強化しますが、デバイスのコンプライアンスは制御しません。
* D. ローカル パスワード ポリシーを適用するための PAM: BYOD 制御ではなく、特権アカウント管理に重点を置いています。
* E. Web コンテンツ フィルタリングを強化する SD-WAN: ネットワークのパフォーマンスとセキュリティを強化しますが、BYOD デバイスのコンプライアンスは強化しません。
* F. データ保護機能を強化する DLP: データは保護しますが、BYOD デバイスのアクセスとコンプライアンスは制御しません。
参考文献:
* CompTIA SecurityX 学習ガイド
* 「条件付きアクセス ポリシー」、Microsoft ドキュメント
* 「ネットワーク アクセス コントロール (NAC)」、Cisco ドキュメント

AI を使用して顧客の融資金利を決定するプロセスを完全に自動化する場合、プライバシーの観点から最も懸念されるのはモデルの説明可能性です。
モデルの説明可能性が重要な理由:
* 透明性: AI モデルの意思決定プロセスがクライアントを含む利害関係者に理解され、説明されることを保証します。
* 説明責任: モデル内の偏りやエラーを特定し、AI が公正かつ偏見のない決定を下すことを保証します。
* 規制遵守: さまざまな規制により、決定、特に個人の財務状況に影響を与える決定は説明され、正当化されることが求められます。
* 信頼: AI の決定が透明かつ正当であることを実証することで、ユーザーと関係者の間で信頼を構築します。
資格情報の盗難、プロンプトインジェクション、ソーシャルエンジニアリングなどの他のオプションは重大な懸念事項ですが、自動化された意思決定のプライバシーと公平性への影響に直接対処するものではありません。
参考文献:
* CompTIA SecurityX 学習ガイド
* 「AIにおける説明可能性の重要性」IEEE Xplore
* GDPR第22条「プロファイリングを含む自動化された個人意思決定」