SSL/TLSは、暗号化された通信をサポートし、ユーザーが正しいサーバーに接続していることを信頼できるようにするために、デジタル証明書に依存しています。TLS証明書は通常、ドメイン名などのIDに公開鍵を紐付け、信頼できる発行者によってデジタル署名されたX.509証明書です。ほとんどの公共インターネット利用ケースでは、これらの証明書は、ブラウザやオペレーティングシステムがプリインストールされているルート証明書を通じて既に信頼している認証局によって発行されます。このような信頼関係があるため、組織は通常、認証局から証明書を購入または取得します。これが、選択肢Bが正しい理由です。
TLSハンドシェイク中、サーバーはクライアントに証明書を提示します。クライアントは証明書の署名チェーン、有効期間、および証明書がアクセスしているドメインと一致することを検証します。検証が完了すると、TLSは転送中のデータを暗号化し、盗聴や改ざんから保護するために使用されるセッションキーを確立します。証明書自体は「暗号化されていないデータに似ている」ものではなく、USBメモリなどのストレージに特有のものでもありません。証明書はネットワーク通信を保護するために使用されます。また、証明書は主にデータへのアクセスに対する「認可」を提供するものでもありません。認可は通常、認証後にアプリケーションとアクセス制御メカニズムによって強制されます。証明書はエンドポイントの認証をサポートし、安全な鍵交換を可能にします。これらは、安全な転送暗号化と信頼できる接続の前提条件です。

最小権限の原則では、ユーザー、管理者、サービス、およびアプリケーションには、承認された業務を遂行するために必要な最小限のアクセス権のみを付与し、それ以上の権限は付与しないことが求められます。オプションAは、管理者の昇格された権限が、サポートを担当する特定のアプリケーションに限定されているため、この原則に従っています。これにより、攻撃対象領域が縮小し、被害範囲が制限されます。つまり、管理者アカウントが侵害された場合でも、攻撃者の影響範囲は企業環境全体ではなく、それらのアプリケーションのみに限定されます。
最小権限の原則は、通常、役割ベースのアクセス制御、職務分掌、および特権アクセス管理の実践を通じて実現されます。これらの制御により、権限は定義された役割に基づいて割り当てられ、定期的に見直され、不要になった時点で削除されます。また、日常的なタスクには標準ユーザーアカウントを使用し、管理操作は管理された監査可能なセッションに限定することを推奨します。さらに、システム全体に影響を与える変更を行える人が少なくなるため、ログ記録と変更追跡を通じて、より強力な説明責任が確保されます。
他のシナリオは最小権限の原則に違反しています。オプションBは企業全体に過剰な権限を付与するため、不必要なリスクを生み出し、ミスや侵害による広範囲な被害を招く可能性があります。オプションCは「万が一」のための管理アクセスを提供しますが、サイバーセキュリティガイドラインでは、正当な業務上の必要性がないにもかかわらずリスクを高めるため、明確に推奨されていません。オプションDは、人事ファイルすべてへのアクセス権限を与えるため、人事評価に必要な範囲を超えており、通常は関連する従業員記録のみに限定されるべきです。

インシデント管理とは、セキュリティ問題が適切に処理され、証拠が保全され、影響が軽減され、再発防止のための改善策が実施されることを保証するために用いられる、体系化された運用プロセスです。オプションBに記載されている各段階は、運用セキュリティプログラムにおいてインシデント管理が一般的に文書化されている方法と一致しています。
報告は最初のステップです。ユーザー、監視ツール、サービスデスクがアラートやチケットを発行し、何がいつ発生したか、そして初期の影響を記録します。明確な報告チャネルと定義された重大度基準により、インシデントは迅速にエスカレーションされ、適切なチームによって処理されます。調査は、ログ、エンドポイントテレメトリ、ネットワークトレース、ユーザーの発言など、事実の発見と証拠の収集に重点を置きます。評価では、範囲、ビジネスへの影響、影響を受けた資産とデータ、および侵害が継続する可能性を判断します。このステップによって優先順位が決定され、適切な処理方法が選択されます。
是正措置では、ホストの隔離、侵害されたアカウントの無効化、パッチの適用、認証情報のローテーション、バックアップからの復元、システム整合性の検証など、封じ込め、根絶、復旧活動を実施します。また、必要に応じて、法務、プライバシー、およびビジネス関係者とのコミュニケーション、文書化、調整も是正措置に含まれます。最後に、レビューは教訓を収集する段階であり、プレイブックの更新、検出精度の向上、制御上のギャップの解消、そして一時的な回避策ではなく恒久的な修正によって根本原因に対処することを保証します。
他の選択肢は、標準的なインシデント管理フェーズを表していません。Aはマーケティングモデルであり、CとDは確立されたインシデント管理ライフサイクル文書と比較すると、不完全であったり、順序が間違っていたりします。

セキュリティ情報およびイベント管理システム（SIEM）は、セキュリティ関連データを一元化して分析し、脅威検出、コンプライアンス報告、インシデント管理をサポートするように設計されています。SIEMプラットフォームは、サーバー、エンドポイント、ネットワーク機器、ファイアウォール、侵入検知システム、IDプロバイダー、クラウドサービス、ビジネスアプリケーションなど、多くのソースからログとテレメトリを取り込みます。そして、これらのイベントを正規化および相関付けすることで、アナリストが、個別のログでは見つけにくい疑わしいパターン（例えば、繰り返しのログイン失敗の後に通常とは異なる場所からのログインが成功する、権限昇格、横方向の移動を示す指標、異常なデータアクセスなど）を特定できるようにします。
サイバーセキュリティの運用ガイドラインでは、SIEMの価値を主に3つの分野で強調しています。1つ目は、検出とアラートです。相関ルール、行動分析、脅威インテリジェンスの強化により、高リスクのアクティビティを特定できます。2つ目は、インシデント対応のサポートです。SIEMは、タイムライン、証拠の保全、トリアージのコンテキスト、クエリ機能を提供し、対応者がインシデントの範囲を特定し、封じ込めるのに役立ちます。3つ目は、コンプライアンスと監査への対応です。ログの一元管理、整合性制御、レポート機能により、監視と制御の要件が適切に機能していることが実証されます。
他の選択肢は定義に合致しません。SaaSは配信モデルであり、特定のセキュリティ監視機能ではありません。脅威リスク評価はプロセスであり、イベント収集と相関分析を行うソフトウェア製品ではありません。CASBはクラウドアプリケーションの使用状況の管理と保護に重点を置いていますが、SIEMは環境横断的なイベント集約、相関分析、およびセキュリティ運用監視に重点を置いています。

システムがセキュリティ分類の異なる複数の情報タイプを処理する場合、サイバーセキュリティ標準では、システムの全体的なセキュリティ分類は、それらの情報タイプの中で最も影響度の高いレベルを反映するように求められます。これは一般的にハイウォーターマーク方式と呼ばれています。理由は単純明快です。システムのセキュリティは、処理する最も機密性の高いデータ、あるいは最もミッションクリティカルなデータに適用される保護レベルに左右されるからです。システムが最も影響度の低いレベルで分類された場合、攻撃者はより脆弱な制御ベースラインを標的にすることで、より影響度の高い情報にアクセスできる可能性があり、機密性、完全性、可用性の保護において許容できないギャップが生じることになります。
実際には、分類によって3つのセキュリティ目標それぞれについて損失の潜在的な影響を評価し、システムが扱うすべての情報タイプにおいて、各目標に対して最も高いレベルのセキュリティレベルを選択します。この結果として得られるシステム分類に基づいて、制御の選択、保証活動、監視およびインシデント対応の厳格さが決定されます。このアプローチは、一貫性のあるガバナンスもサポートします。機密性の低い情報と高い情報が混在するシステムに対する保護不足を防ぎ、最悪のビジネスへの影響に合わせて制御の強度を調整します。
システム間でデータを分離することは、コストや範囲を削減するための有効なアーキテクチャ上の決定となり得るが、必須の分類ルールではない。これは、正当化され、安全に実装されなければならないオプションの設計戦略である。カテゴリを統合したり、最小値を使用したりすることは、リスクベースの保護原則に反し、コンプライアンスや監査の審査に合格しない可能性が高い。