エンゲージメント ルールは、侵入テストなどの情報セキュリティ テストの実行に関する詳細なガイドラインと制約です。テストの範囲、目的、方法、境界、およびテスト担当者とクライアントの役割と責任を定義します。エンゲージメント ルールは、テストが合法的、倫理的、専門的な方法で実施され、結果が正確で信頼できるものであることを保証するのに役立ちます。

B: デバイスはクリアテキスト パスワードを使用するように設定されています。これは重大なセキュリティ上の脆弱性であり、不正アクセスの重大なリスクをもたらします。クリアテキスト パスワードを使用しているデバイスは廃止し、安全な認証方法を使用するデバイスに置き換える必要があります。
E: デバイスの暗号化レベルが組織の標準を満たしていません。デバイスがデータを必要なレベルまで暗号化できない場合、機密情報の機密性が損なわれるため、デバイスの使用を停止する必要があります。組織のセキュリティ ポリシーでは、ネットワーク デバイスに許容される最低限の暗号化レベルを規定する必要があります。

HTTP ヘッダーを使用すると、クロスサイト スクリプティング (XSS) に関連するリスクを軽減できます。コンテンツ セキュリティ ポリシー (CSP) や X-XSS-Protection などのセキュリティ関連の HTTP ヘッダーを構成すると、Web ページのコンテキストで悪意のあるスクリプトが実行されることを防ぐことができます。
XSS (クロスサイト スクリプティング): 攻撃者が他のユーザーが閲覧する Web ページに悪意のあるスクリプトを挿入できる脆弱性。CSP などの HTTP ヘッダーは、読み込みを許可する動的リソースを指定することにより、XSS 攻撃を防ぐのに役立ちます。
SQLi (SQL インジェクション): 通常は、HTTP ヘッダーではなく、パラメーター化されたクエリと入力検証を使用して軽減されます。
DoS (サービス拒否): HTTP ヘッダーではなく、ネットワークおよびアプリケーション レベルの防御によって軽減されます。
SSL (Secure Sockets Layer): 通信のセキュリティ保護を指し、HTTP ヘッダーによって直接緩和されるのではなく、SSL/TLS プロトコルを使用して実装されます。

シャドー IT とは、組織の明示的な承認なしに組織内で使用される情報技術システムを指します。

ゼロ トラストは、ネットワーク境界の内外を問わず、いかなるエンティティも信頼しないことを前提とし、ID と権限の継続的な検証を必要とするセキュリティ モデルです。ゼロ トラストは、機密データとリソースを分離して不正アクセスから保護することで、安全なゾーンを提供できます。また、ゼロ トラストは、ユーザー、デバイス、アプリケーションに対して最小権限の原則と細分化されたセグメンテーションを適用することで、会社全体のアクセス制御ポリシーを実施することもできます。ゼロ トラストは、横方向の移動を防ぎ、攻撃対象領域を最小限に抑えることで、脅威の範囲を縮小できます。
参照：
5: この情報源では、ゼロ トラスト セキュリティの概念と利点、および従来のセキュリティ モデルとの違いについて説明します。
8: この情報源では、ゼロ トラスト ID セキュリティの概要と、それがユーザーとデバイスの ID と整合性の検証にどのように役立つかについて説明します。