セクション: 情報資産の保護

説明/参照:
NOT はこの質問で使用されているキーワードです。SSL プロトコルによって提供されない機能を見つける必要があります。SSL プロトコルは以下を提供します。
機密保持
誠実さ
認証（例：クライアントとサーバー間）
否認防止
CISA試験では、セキュアソケットレイヤー（SSL）とトランスポート層セキュリティ（TLS）に関する以下の情報を知っておく必要があります。
これらは、インターネット上で安全な通信を提供する暗号化プロトコルです。SSL 3.0 と TLS 1.0 にはわずかな違いしかありません。一般的な概念では、どちらも SSL と呼ばれます。
SSL は、インターネット上でブラウザと Web サーバー間の通信に広く使用されているセッション接続層プロトコルです。セッションが確立されている間は、あらゆる量のデータが安全に送信されます。SSL は、暗号化を使用してインターネット上でエンドポイント認証と通信プライバシーを提供します。通常の使用では、サーバーのみが認証され、クライアントは認証されません。相互認証には、クライアントへの PKI 開発が必要です。このプロトコルにより、アプリケーションは盗聴、改ざん、およびメッセージの偽造を防止するように設計された方法で通信できます。
SSLにはいくつかの基本的な段階がある
アルゴリズムサポートのためのピアネゴシエーション
公開鍵、暗号化ベースの鍵交換、証明書ベースの認証、対称暗号ベースのトラフィック暗号化。
SSL は、HTTP、SMTP、Network News Transport Protocol (NNTP) などのアプリケーション プロトコルの下のレイヤーで実行され、TCP/IP スイートの一部を形成する TCP トランスポート プロトコルの上位レイヤーで実行されます。
SSL は、ハイブリッドハッシュ、秘密鍵、公開鍵の暗号化プロセスを使用して、PKI を通じてインターネット経由の送信を保護します。
SSL ハンドシェイク プロトコルはアプリケーション層に基づいていますが、通信セッションのセキュリティも提供します。各通信セクションのセキュリティ パラメータをネゴシエートします。複数のセッションが 1 つの SSL セッションに属することができ、1 つのセッションに参加しているユーザーは複数の同時セッションに参加できます。
誤った回答は次のとおりです。
機密性 - SSLプロトコルによってサポートされています
整合性 - SSLプロトコルによってサポートされています
認証 - SSLプロトコルでサポートされています
この質問を作成するために、次の参考資料が使用されました:
CISA レビューマニュアル 2014 ページ番号 352

組織のセキュリティ意識向上プログラムの有効性は、ソーシャル エンジニアリング攻撃を認識して回避する能力など、脅威に対する人々の反応の変化に関するデータを収集することで測定できます1。従業員から報告されたフィッシング メールの数の増加は、従業員がフィッシングの兆候とリスクをより認識しており、そのような攻撃の影響を防止または軽減するための適切な措置を講じる可能性が高くなっていることを示しています23。
参考文献
1: セキュリティ意識の測定の重要性 2: セキュリティ意識向上プログラムの有効性の測定 3: セキュリティ意識向上トレーニングはどの程度効果的ですか?
組織のセキュリティ意識向上プログラムの有効性は、ソーシャル エンジニアリング攻撃を認識して回避する能力など、脅威に対する人々の反応の変化に関するデータを収集することで測定できます1。従業員から報告されたフィッシング メールの数の増加は、従業員がフィッシングの兆候とリスクをより認識しており、そのような攻撃の影響を防止または軽減するための適切な措置を講じる可能性が高くなっていることを示しています23。
参考文献
1: セキュリティ意識の測定の重要性 2: セキュリティ意識向上プログラムの有効性の測定 3: セキュリティ意識向上トレーニングはどの程度効果的ですか?

説明/参照:
情報システム監査人が、情報システム部門が正式に文書化された方法論、ポリシー、および標準を使用していないことに気付いた場合、監査人は少なくとも非公式の標準とポリシーを文書化し、準拠をテストする必要があります。さらに、情報システム監査人は、正式に文書化されたポリシーを開発して実装することを経営陣に推奨する必要があります。