与えられた要件を満たす最適なソリューションは、特権アクセス管理 (PAM) ソリューションを導入することです。PAM ソリューションを使用すると、管理者は特定のユーザーに割り当てられ、複雑なパスワードを持つ管理アカウントを作成および管理できます。さらに、PAM ソリューションは、すべてのシステムで監査証跡とログ記録を有効にする機能と、管理アカウントの一時アクセスを設定する機能を提供します。SAML、ABAC、および CASB はこの目的には適していません。

取得コマンドはPowershell = CSRFはPowershellを使用する
XSS =Javascript

MDM ソフトウェアは、中央サーバーから実行されるリモート資産管理ソフトウェアの一種です。企業がスマートフォンやタブレットなどのモバイル デバイスの機能とセキュリティを最適化するために使用します。企業の所有デバイスと個人所有デバイスの両方を組織のポリシーに従って監視および制御できます。
FDE はフルディスク暗号化の略で、デバイスのストレージ上のすべてのデータを暗号化する方法です。FDE は、デバイスが紛失または盗難にあった場合に、不正アクセスからデータを保護します。
企業が従業員に個人所有のデバイスを業務に使用することを許可する場合は、それらのデバイスに FDE を適用するように MDM ソフトウェアを構成する必要があります。こうすることで、企業はデバイスが悪意のある人物の手に渡った場合でも、データが漏洩するのを防ぐことができます。
ただし、会社が MDM ソフトウェアでリモート ワイプ オプションも有効にしている場合、従業員は個人データの損失を懸念する可能性があります。リモート ワイプは、盗難や紛失の際に会社がデバイス上のすべてのデータをリモートで消去できる機能です。リモート ワイプはデバイス上の個人データにも影響を与える可能性があるため、従業員はそれを受け入れない可能性があります。
したがって、妥協策としては、ロック画面を有効にせずに MDM を FDE 用に構成することが考えられます。つまり、デバイスは暗号化されますが、ロック解除にパスワードや PIN は不要になります。こうすることで、従業員は個人データに簡単にアクセスでき、企業は暗号化によってデータを保護できます。
他のオプションは、次の理由により正しくありません。
* A. 電話が盗まれた場合に備えて、MDM ソフトウェアでリモート ワイプ オプションを有効にします。このオプションは、データ損失に関する会社の懸念には対処できますが、個人データ損失に関する従業員の懸念には対処できない可能性があります。リモート ワイプにより、デバイス上の仕事用データと個人データの両方が消去される可能性があるため、従業員にとって望ましくない場合があります。
* B. MDM ソフトウェアを構成して、電話にアクセスするために PIN の使用を強制します。このオプションはデバイスのセキュリティを強化する可能性がありますが、データ損失に関する会社の懸念に対処できない可能性があります。PIN は攻撃者によって推測またはバイパスされる可能性があり、デバイスが物理的にアクセスされた場合はデータを保護できません。
* D. 会社のアプリケーションをインストールする前に、携帯電話を工場出荷時の状態にリセットします。このオプションは、データ損失に関する会社の懸念には対処できますが、個人データ損失に関する従業員の懸念には対処できない可能性があります。工場出荷時の状態にリセットすると、個人データを含むデバイス上のすべてのデータが消去されるため、従業員はそれを受け入れない可能性があります。
CompTIA Security+ SY0-601 試験目標 2.4 に従って、シナリオに応じて安全なシステム設計を実装します。
「MDM ソフトウェアは、中央サーバー 1 から実行されるリモート資産管理ソフトウェアの一種です。企業がスマートフォンやタブレットなどのモバイル デバイスの機能とセキュリティを最適化するために使用されます 2。」
「FDE はフルディスク暗号化の略で、デバイスのストレージ上のすべてのデータを暗号化する方法です3。」参考資料: https://www.comptia.org/certifications/security#examdetails
https://www.comptia.org/content/guides/comptia-security-sy0-601-exam-objectives
https://www.makeuseof.com/what-is-mobile-device-management-mdm-software/

否認防止とは、取引や通信に関与する当事者が関与を否定できないようにするプロセスです。否認防止制御を実装することで、サイバーセキュリティ アナリストはユーザーのアクションを適切に追跡してログに記録し、特定の個人に関連付けることができます。これは、デジタル署名、タイムスタンプ、安全なログ記録メカニズムなどの方法によって実現できます。
参照：
1. CompTIA Security+ 認定試験目標 (SY0-601): https://www.comptia.jp/pdf/CompTIA%20Security%2B%20SY0-601%20Exam%20Objectives.pdf
2. Stewart, JM, Chapple, M., & Gibson, D. (2021). CompTIA Security+ 学習ガイド: 試験 SY0-601. John Wiley & Sons.