RPO の定義:
リカバリ ポイント目標 (RPO) は、時間で測定されたデータ損失の最大許容量を表す災害復旧メトリックです。これは、災害後に通常の操作を再開するためにデータを復旧する必要がある時点を示します。
たとえば、RPO が 24 時間に設定されている場合、ビジネスでは中断が発生した場合に最大 24 時間分のデータが失われることを許容できます。
RPO が重要な理由:
RPO はバックアップ頻度を決定する上で重要であり、企業がデータをバックアップする必要がある頻度を決定するのに役立ちます。RPO が低いほど、バックアップの頻度が高くなり、データ損失の可能性が低くなります。
他の指標との比較:
MTTR (平均修復時間): システムまたはコンポーネントを修復して通常の動作に戻すのに必要な平均時間を指します。
RTO (目標復旧時間): 障害または災害が発生した後、コンピューター、システム、ネットワーク、またはアプリケーションがダウンしても許容される最大時間。
MTBF (平均故障間隔): 動作中のシステム固有の故障間の予測経過時間。
災害復旧における RPO の使用方法:
組織は、業務運営に許容できる時間枠内でデータを回復できるようにするために RPO を確立します。これには、RPO 要件を満たすバックアップ プランの作成が含まれます。
参照：
CompTIA Network+ の学習教材と認定ガイド。

* ACL を理解する:
* アクセス制御リスト (ACL): IP アドレス、プロトコル、またはポートに基づいてパケットをフィルタリングすることにより、ネットワーク トラフィックを制御し、ネットワーク リソースへのアクセスを制限するために使用される一連のルール。
* セキュリティゾーンの実装:
* ゾーンの定義: ACL を使用すると、さまざまな部門に特定のルールを適用してセキュリティ ゾーンを作成し、これらのゾーン間で許可されたトラフィックのみが許可されるようにすることができます。
* トラフィックの制御: ACL はネットワーク境界で受信トラフィックと送信トラフィックを制御し、セキュリティ ポリシーを適用して不正アクセスを防止します。
* 他のオプションとの比較:
* ポート セキュリティ: スイッチ ポートに接続できるデバイスの数を制限し、MAC アドレス フラッディング攻撃を防止しますが、セキュリティ ゾーンの定義には使用されません。
* コンテンツ フィルタリング: 事前定義されたポリシーに基づいて特定のコンテンツへのアクセスをブロックまたは許可します。通常は、ネットワーク セグメンテーションではなく Web フィルタリングに使用されます。
* NAC (ネットワーク アクセス制御): デバイスのセキュリティ状態に基づいてネットワークへのアクセスを制御しますが、セキュリティ ゾーンは定義しません。
* 実装手順:
* 各部門の要件に基づいて ACL ルールを定義します。
* これらのルールを適切なネットワークインターフェースまたはファイアウォールポリシーに適用して、ネットワークをセグメント化します。
* セキュリティゾーン内へ。
参考文献:
* ネットワーク セキュリティとアクセス制御方法に関する CompTIA Network+ 学習教材。

IPsec (インターネット プロトコル セキュリティ) は、サイト間接続を提供する最も安全な方法です。データの整合性、認証、暗号化などの堅牢なセキュリティ サービスが提供され、ネットワーク経由で送信されるデータが傍受や改ざんから保護されます。他のオプションとは異なり、IPsec はネットワーク層で動作し、IP ネットワークを通過するすべてのトラフィックを保護できるため、サイト間 VPN にとって最も包括的で安全な選択肢となります。
参考: CompTIA Network+ 学習教材および NIST Special Publication 800-77。

キャプティブ ポータルとは、ネットワークへのアクセスが許可される前にユーザーが表示して操作する必要がある Web ページです。これは、ゲスト ネットワークで使用条件の同意を強制するためによく使用されます。ユーザーがネットワークに接続すると、このポータルにリダイレクトされ、続行する前に使用条件に同意する必要があります。この方法により、ユーザーがネットワークのポリシーを認識して同意することが保証されるため、このシナリオでは最適な選択となります。参考資料: CompTIA Network+ 試験の目標と公式学習ガイド。

IDS がすべてのパケットを損失なく、また遅延なく確認できるようにするには、ポート ミラー (SPAN (スイッチ ポート アナライザ) ポートとも呼ばれる) を使用するのが最善のアプローチです。ポート ミラーリングは、1 つのスイッチ ポート (または VLAN 全体) で確認されたネットワーク パケットを、IDS が接続されている別のポートにコピーします。この方法により、IDS はネットワーク トラフィックの直接パスに入らずに受動的にトラフィックを監視できるため、追加の遅延を回避できます。
参考: CompTIA Network+ 認定試験の目標 - ネットワーク セキュリティ セクション。