セクション: 情報資産の保護
Explanation:
組織の全体的な目標の実現に貢献するために、IS 部門は、組織の目標達成に向けたより広範な計画と一致する長期および短期の計画を持つ必要があります。選択肢 A と C は目標であり、各目標の達成方法を明確にする計画が必要になります。選択肢 D は全体計画の一部になる場合がありますが、組織の目標を達成するためにハードウェアまたはソフトウェアが必要な場合にのみ必要になります。

情報システム監査人がプロジェクト実現可能性調査で確認すべき最も重要なことは、期待される利益が達成できるかどうかの評価です。プロジェクト実現可能性調査は、技術、経済、法律、運用、社会的な要因など、さまざまな基準に基づいて、提案されたプロジェクトの実行可能性と適合性を評価する予備分析です。期待される利益とは、プロジェクトが組織とその利害関係者に提供することを目指す肯定的な成果と価値です。情報システム監査人は、プロジェクト実現可能性調査で期待される利益が明確に定義され、定量化されているかどうか、また、プロジェクトの範囲、予算、スケジュール、品質パラメータ内でそれらを達成する可能性と実現可能性が評価されているかどうかを検証する必要があります。情報システム監査人がプロジェクト実現可能性調査で確認すべきその他のオプションも重要ですが、期待される利益が達成できるかどうかの評価ほど重要ではありません。なぜなら、それらは全体的な価値提案ではなくプロジェクトの特定の側面に焦点を当てているか、プロジェクトの実行可能性を評価するのではなくプロジェクトが実施されると想定しているからです。参考文献: CISA レビューマニュアル (デジタル版)1、第 4 章、セクション 4.2.1

セクション: 情報システムの監査プロセス
説明/参照:
Explanation:
予防管理は事故の発生を防ぐことを目的としています
試験では、さまざまなセキュリティ制御に関する以下の情報を知っておく必要があります 抑止制御 抑止制御は、潜在的な攻撃者を阻止することを目的としています。アクセス制御は、制御が存在するだけで、一部の潜在的な攻撃者が制御を回避しようとするのを防ぐのに十分であるという単純な事実によって、脅威と攻撃に対する抑止力として機能します。これは多くの場合、制御を回避するために必要な労力が、攻撃者が成功した場合の潜在的な見返りよりもはるかに大きいため、または逆に、失敗した攻撃 (または捕まる) のマイナスの影響が成功の利点を上回るためです。たとえば、ユーザー、サービス、またはアプリケーションの識別と認証、およびそれが意味するすべてを強制することにより、攻撃者はインシデントとの関連を恐れるため、システムに関連するインシデントの可能性が大幅に減少します。特定のアクセス パスに制御がない場合、インシデントの数と潜在的な影響は無限大になります。制御は、プロセスに監視を適用することで、本質的にリスクへの露出を減らします。
この監視は抑止力として機能し、起こりうる影響に対して攻撃者の意欲を抑制します。
抑止制御の最も良い例は、従業員が意図的に許可されていない機能を実行し、望ましくないイベントを引き起こす傾向によって示されます。
ユーザーが、機能を実行するためにシステムに認証すると、そのアクティビティが記録され、監視されることを理解し始めると、そのようなアクションを試みることが少なくなります。多くの脅威は、脅威エージェントの匿名性に基づいており、そのアクションが特定され関連付けられる可能性は、どんな犠牲を払ってでも回避されます。
アクセス制御が攻撃者による回避の主なターゲットとなるのは、この根本的な理由によるものです。
抑止策は、ユーザーが不正行為を行った場合に罰則を科すという形を取ることもできます。たとえば、組織のポリシーで、不正なワイヤレス アクセス ポイントをインストールした従業員は解雇すると規定されている場合、ほとんどの従業員はワイヤレス アクセス ポイントをインストールしないようになります。
予防的管理
予防的制御は、インシデントの発生を防ぐことを目的としています。予防的アクセス制御は、ユーザーが何らかのアクティビティや機能を実行できないようにします。予防的制御は、制御が任意ではなく、(簡単に) バイパスできないという点で、抑止的制御とは異なります。抑止的制御は、制御をバイパスするリスクを冒すよりも、制御に従う方が簡単であるという理論に基づいて機能します。言い換えると、アクションの権限はユーザー (または攻撃者) にあります。予防的制御では、アクションの権限がシステムにあり、制御に従うことは任意ではありません。制御をバイパスする唯一の方法は、制御の実装に欠陥を見つけることです。
補償制御
代替コントロールは、システムの既存の機能がポリシーの要件をサポートしていない場合に導入されます。代替コントロールは、技術的、手順的、または管理的なものになります。既存のシステムが必要なコントロールをサポートしていない場合でも、既存の環境を補完し、コントロールのギャップを埋め、ポリシー要件を満たし、全体的なリスクを軽減できる他のテクノロジやプロセスが存在する場合があります。
たとえば、アクセス制御ポリシーでは、インターネット経由で認証プロセスを実行する場合は、そのプロセスを暗号化する必要があると規定されている場合があります。認証のためにネイティブで暗号化をサポートするようにアプリケーションを調整すると、コストがかかりすぎる可能性があります。暗号化プロトコルである Secure Socket Layer (SSL) を採用し、認証プロセスの上に重ねて配置することで、ポリシー ステートメントをサポートできます。
その他の例としては、職務分離環境が挙げられます。職務分離環境では、特定のタスクを分離して、システムの技術的制限を補い、トランザクションのセキュリティを確保することができます。また、承認、監視、管理などの管理プロセスを使用して、アクセス制御環境のギャップを補うことができます。
検出制御
検出制御は、何かが発生したときに警告を発するもので、インシデント発生後のタイムラインの最も早い時点です。アクセス制御は脅威に対する抑止力であり、最小限の権限を適用することで有害なインシデントを防ぐために積極的に活用できます。ただし、アクセス制御の検出的な性質により、アクセス環境を大幅に可視化でき、組織がアクセス戦略と関連するセキュリティ リスクを管理するのに役立ちます。
前述のように、認証されたユーザーに提供される厳格に管理されたアクセス権限は、認証されたユーザーの機能を制限して、企業の資産のリスク露出を軽減する機能を提供します。ただし、権限が付与された後にユーザーが実行できる操作を制御するオプションはほとんどありません。
たとえば、ユーザーにファイルへの書き込みアクセスが与えられ、そのファイルが破損、変更、またはその他の悪影響を受けた場合 (意図的または偶発的)、適用されたアクセス制御を使用することでトランザクションを可視化できます。制御環境を確立して、システム上の識別、認証、承認、および権限の使用に関するアクティビティをログに記録できます。
これを使用して、エラーの発生、不正なアクションの実行の試みを検出したり、提供された資格情報が使用されたかどうかを検証したりできます。検出デバイスとしてのログ記録システムは、承認されたユーザーによって実行されたアクション (成功と失敗の両方) とタスクの証拠を提供します。
是正管理
セキュリティ インシデントが発生した場合、セキュリティ インフラストラクチャ内の要素に対して修正アクションが必要になる場合があります。
是正制御は、環境のセキュリティ態勢を変更して欠陥を修正し、環境を安全な状態に戻すためのアクションです。セキュリティ インシデントは、1 つ以上の指示、抑止、予防、または補償の制御の失敗を示します。検出制御によってアラームまたは通知がトリガーされた可能性がありますが、今度は是正制御が機能してインシデントを阻止する必要があります。是正制御にはさまざまな形式があり、すべては現在の特定の状況または対処する必要がある特定のセキュリティ障害によって異なります。
回復コントロール
セキュリティ インシデントが発生した場合でも、一時的な補償制御を提供する場合でも、アクセス制御環境に変更を加えた場合は、正確に復元して通常の操作に戻す必要があります。
アクセス制御、その適用性、ステータス、または管理に影響を及ぼす可能性のある状況はいくつかあります。
イベントには、システム停止、攻撃、プロジェクトの変更、技術的要求、管理上のギャップ、大規模な災害状況などが含まれます。たとえば、アプリケーションが正しくインストールまたは展開されていない場合、システム ファイルに設定されている制御に悪影響が及んだり、インストール時に知らないうちにデフォルトの管理アカウントが実装されたりする可能性があります。
さらに、従業員が転勤、退職、または一時休暇をとる場合、職務分離に関するポリシー要件に影響する可能性があります。システムへの攻撃によってトロイの木馬プログラムが埋め込まれ、クレジットカード情報や財務データなどのユーザーの個人情報が漏洩する可能性があります。これらのすべてのケースにおいて、望ましくない状況はできるだけ早く修正し、制御を通常の運用に戻す必要があります。
次の回答は間違っています。
抑止 - 抑止制御は、潜在的な攻撃者を阻止することを目的としています。 是正 - 是正制御は、インシデントが発生した後にコンポーネントまたはシステムを修復します。 回復 - 回復制御は、環境を通常の操作に戻すことを目的としています。 参照:
CISA レビューマニュアル 2014 ページ番号 44
そして
公式 ISC2 CISSP ガイド第 3 版 ページ番号 50 および 51

説明
デジタルフォレンジック調査中に収集された証拠は、ログで証拠を取り扱った人物を特定できない場合、法廷で証拠として認められません。これは、調査プロセス全体を通じて証拠が適切に文書化、保護、追跡されることを要求する保管連鎖の原則に違反することになります。
証拠保管の連鎖により、証拠が本物で、信頼性があり、信用でき、改ざんや変更がされていないことが保証されます。証拠を収集した人物は、資格の有無にかかわらず、適切な手順とプロトコルに従っている限り、証拠の許容性には関係ありません。社内フォレンジック チームが収集した証拠は、独立性、客観性、能力がある限り、法廷で許容されます。証拠は、損傷や紛失から保護され、保存されている限り、裁判前にクラウドベースのソリューションを使用して完全にバックアップする必要はありません。参考文献: ISACA ジャーナル記事: デジタル フォレンジック: 証拠保管の連鎖