無線デバイスと同様に、アクティブ RFID タグも盗聴の対象となります。これらは本質的に、セッション ハイジャック、悪意のあるコード、フィッシングの影響を受けません。

セクション: 情報資産の保護
Explanation:
システム要件定義時のユーザー参加が不十分であることが最も一般的な理由です。
情報システムがユーザーのニーズを満たしていない可能性があります。

説明/参照:
自動通話分散により、着信通​​話が次に対応可能なエージェントに配信されるか、エージェントが対応可能になるまで保留されるように PBX を設定できます。試験では、以下に説明する PBX の機能とリスクを理解しておく必要があります。
システムの特徴
説明
危険
自動通話分配
着信コールが次に対応可能なエージェントに分配されるか、エージェントが対応可能になるまで保留されるように PBX を設定できます。 トラフィックの盗聴と制御 通話の転送 特定の条件に基づいて通話を転送する代替番号の指定が可能 ユーザー追跡アカウントコードの用途:
適切な請求を行うために、特定の人または特定のプロジェクトに対して行われた通話を追跡します。 ダイヤルイン システム アクセス (ユーザーは外部からダイヤルして PBX の通常の機能にアクセスします) ユーザーが別の機能セットにアクセスできるようにサービスのユーザー クラスを変更します (例: オーバーライド機能) 詐欺、ユーザー追跡、非承認機能 アクセス コード 単純な機器 (従来のアナログ電話など) を使用するユーザーの一部から特定の機能にアクセスするためのキー。
許可されていない機能
サイレントモニタリング
他の通話をサイレントに監視します
盗聴
会議
複数のユーザー間での会話が可能
会議に望ましくない/未知の相手を追加することによる盗聴
オーバーライド(侵入)
話中の回線に割り込んで別のユーザーに重要なメッセージを知らせる可能性を提供する 盗聴自動応答 呼び出されたときに機器が自動的に起動できるようにする 通常、簡単にオフにできる監査または視覚的な警告を表示する 通常は入手できない情報をさまざまな目的で取得するテナント システム ユーザーのアクセスを同じテナント グループに属するユーザーのみに制限します。ある企業が自社の建物の一部を他の企業に貸し出しており、テナントが係員やトランク ラインなどを共有している場合に便利です。 違法使用、詐欺、盗聴 ボイス メール メッセージを保存します中央で管理され、パスワードを使用することで内線または外線からの取得が可能になります。
ユーザーのパスワードが知られている、または侵入者に発見された場合のユーザーのすべてのメッセージの開示または破棄、長いメッセージまたは埋め込まれたコードによるボイスメール システムおよびスイッチ全体の無効化、外線への不正アクセス。
プライバシーのリリース
複数のデバイス間での共有拡張機能をサポートし、一度に 1 つのデバイスのみが拡張機能を使用できるようにします。プライバシー リリースでは、デバイスがすでに使用されている内線番号に接続できるようにすることでセキュリティを無効にします。
盗聴
話中の内線番号はありません
使用中の内線番号が会議中であり、すでにオフフックになっている場合に、その内線番号への通話を会議に追加できるようにします。 進行中の会議の盗聴 診断 通常の通話制限手順をバイパスできるようにします。この種の診断は、接続されているデバイスから利用できる場合があります。これは、通常のメンテナンス端末または付随診断に加えて、別個の機能です。 詐欺および違法な使用 キャンプオンまたはキャッチホン アクティブにすると、別の通話を受信して​​いるオフフック機器に視覚的な警告を送信します。
この機能のもう 1 つのオプションは、キャンプオンまたはキャッチホンと会議することです。着信者を知らないうちに会議の参加者にしてしまいます。
専用接続
通常のダイヤル シーケンスを使用せずに PBX 経由で確立される接続。これは、デバイス間にホットラインを作成するために使用できます。つまり、一方がオフフックになったときにもう一方が鳴ります。デバイスと中央処理施設間のデータ接続にも使用されます。 回線上の盗聴 以下は誤答でした。
通話転送 - 特定の条件に基づいて通話の転送先となる代替番号を指定できます。 テナント - システム ユーザー アクセスを同じテナント グループに属するユーザーのみに制限します。ある企業が自社の建物の一部を他の企業やテナントに貸し出す場合に便利です。アテンダント、トランク回線などを共有する ボイスメール - メッセージを一元的に保存し、パスワードを使用することで内線または外線からの取得を可能にします。
この質問を作成するために次の参考資料が使用されました。
CISA レビューマニュアル 2014 ページ番号 358

提供された情報に基づいて、リスク評価プロセスの最初のステップは、C: 情報資産を特定することです。情報資産は、組織に対する潜在的なリスクを評価するための基礎となるため、リスク評価プロセスの最も重要な要素です。情報資産を特定することにより、監査人は資産の価値と重要性を評価し、それらに関連するリスクのレベルを判断することができます。情報資産が特定されると、監査人は脅威に対する資産の脆弱性の評価、既存の管理の評価、および関連する法的要件の検討に進むことができます。