説明
ファイアウォール ポリシーは、ネットワーク上で許可または拒否されるトラフィックを定義する一連のルールです。ファイアウォール ポリシーは、誤って構成されたポリシーによってネットワークが中断したりセキュリティが侵害されたりする可能性があるため、実装する前に慎重に設計およびテストする必要があります。一般的なベスト プラクティスは、実稼働ネットワークでポリシーを有効にする前に、ラボやシミュレーションなどの非実稼働環境でポリシーをテストすることです。この方法により、技術者は実稼働ネットワークに影響を与えることなく、ポリシーの機能とパフォーマンスを確認し、問題や競合を特定して解決できます。非実稼働環境でポリシーをテストすると、技術者が実稼働ネットワークにポリシーを適用する前に問題を検出して修正できるため、「すべて拒否」ポリシーによって複数の会社のサーバーがアクセス不能になるという問題を防ぐことができます。
変更要求に新しいポリシーを文書化して変更管理に要求を送信するのは良い方法ですが、それだけでは問題を防ぐことはできません。変更管理は、ネットワークへの変更が承認され、文書化され、伝達されることを保証するプロセスですが、変更にエラーがないことや機能することを保証するものではありません。技術者は、ポリシーを実装する前にテストする必要があります。
新しいポリシーを有効にする前に、「すべて拒否」ポリシーの侵入防止シグネチャを無効にしても、問題は回避できず、ネットワークのセキュリティが低下する可能性があります。侵入防止シグネチャは、悪意のあるトラフィックや不要なトラフィックを識別し、ファイアウォールがそのようなトラフィックをブロックまたは警告できるようにするパターンです。
これらのシグネチャを無効にすると、ファイアウォールによる攻撃の検出と防止の効果が低下しますが、会社のサーバーの到達可能性には影響しません。
「すべて許可」ポリシーを「すべて拒否」ポリシーの上に含めても、問題は防げず、「すべて拒否」ポリシーは役に立たなくなります。ファイアウォール ポリシーは上から下に向かって処理され、最初に一致したルールが適用されます。「すべて許可」ポリシーは、送信元、送信先、プロトコルに関係なく、すべてのトラフィックに一致し、ファイアウォールの通過を許可します。これでは、「すべて拒否」ポリシーの目的、つまり以前のルールのいずれにも一致しないトラフィックをブロックするという目的が無効になります。さらに、「すべて許可」ポリシーは、許可されていないトラフィックや悪意のあるトラフィックがネットワークに出入りすることを許可するため、セキュリティ リスクを生み出します。参考資料 = CompTIA Security+ SY0-701 認定試験学習ガイド、204 ～ 205 ページ、Messer 教授の CompTIA SY0-701 Security+ トレーニング コース、ビデオ 2.1 - ネットワーク セキュリティ デバイス、8:00 ～ 10:00。

説明
エンドポイント管理ソフトウェアは、セキュリティ エンジニアがワークステーションやサーバーの構成、セキュリティ、パフォーマンスを中央コンソールから監視および制御できるようにするツールです。エンドポイント管理ソフトウェアは、不正な変更やソフトウェアのインストールを検出して防止し、ポリシーとコンプライアンスを適用し、エンドポイントの状態に関するレポートとアラートを提供するのに役立ちます。他のオプションは、この目的にはエンドポイント管理ソフトウェアほど効果的でも包括的でもありません。参考資料: CompTIA Security+ 学習ガイド: 試験 SY0-701、第 9 版、137 ページ 1

説明
バッジ アクセスとアクセス コントロール ベスティビュールは、許可された人だけが安全な施設にアクセスできるようにする最良の方法です。バッジ アクセスでは、人員は有効な認証バッジをリーダーまたはスキャナーに提示する必要があります。リーダーまたはスキャナーは、事前定義されたルールと権限に基づいてアクセスを許可または拒否します。アクセス コントロール ベスティビュールは、2 つのドアがある小さな部屋またはチャンバーで構成される物理的なセキュリティ対策です。1 つは外部に通じ、もう 1 つは安全なエリアに通じています。人員はベスティビュールに入り、最初のドアが閉まってロックされるまで待ってから、2 番目のドアを開ける必要があります。これにより、許可されていない人による追突や相乗りを防止できます。参考資料: CompTIA Security+ 学習ガイド: 試験 SY0-701、第 9 版、第 1 章
4、197-1981ページ

デューデリジェンスとは、特定の業界内で情報セキュリティを管理する法律、規制、ベストプラクティスを調査して理解するプロセスを指します。組織は、法的および規制上の要件に準拠していることを確認するためにデューデリジェンスを実施する必要があります。これにより、リスクを軽減し、罰金を回避することができます。
* コンプライアンス レポートには、法律または規制基準への準拠を証明するレポートの生成が含まれます。
* GDPR は、EU におけるデータプライバシーを管理する特定の規制であり、法律を調査する一般的な慣行ではありません。
* 認証とは、組織が一連の基準に準拠していることを正式に宣言することであり、法律を調査する行為ではありません。