最終意見は、収集された証拠とテストに基づいています。監査の目的は、経営陣の主張に異議を唱えることです。主張を裏付けるか反証する証拠が収集されます。

セクション: 情報資産の保護

共同討論は、監査対象者の懸念に対処し、相互に同意できる解決策を見つけ、改善を実施するための賛同を得るのに役立ちます。
参考文献
ISACA CISA レビュー マニュアル (最新版) - 監査報告とコミュニケーションに関する章監査基準 - 監査対象の懸念を理解し、対処することの重要性を強調します。

セクション: 情報システムの監査プロセス
Explanation:
質問ではNOTという単語がキーワードとして使われています。与えられた情報からセキュリティコントロールを見つけ出す必要があります。
是正制御ではないオプション。システム監視は検出制御であり、是正制御ではありません。
試験では、さまざまなセキュリティ制御に関する以下の情報を知っておく必要があります。
抑止力制御
抑止制御は潜在的な攻撃者を阻止することを目的としています。アクセス制御は、攻撃者への抑止力として機能します。
脅威や攻撃は、コントロールの存在が潜在的な脅威をある程度抑えるのに十分であるという単純な事実によって防がれる。
攻撃者が制御を回避しようとするのを阻止します。これは、回避に必要な労力が
攻撃者が成功した場合の潜在的な報酬よりも、制御の方がはるかに大きい、あるいは逆に、負の
攻撃が失敗した場合（または捕まった場合）の影響は、成功した場合の利益を上回ります。たとえば、
ユーザー、サービス、アプリケーションの識別と認証、そしてそれが意味するすべてのこと、
攻撃者はシステムとの関連性を恐れるため、システムに関連するインシデントが大幅に減少します。
特定のアクセスパスに制御がない場合、インシデントの数と潜在的な
影響は無限大になります。制御は、プロセスに監視を適用することで、本質的にリスクへの露出を減らします。
この監視は抑止力として機能し、起こりうる影響に対して攻撃者の意欲を抑制します。
抑止力の最も良い例は、従業員が意図的に
許可されていない機能を実行し、望ましくないイベントを引き起こす可能性があります。ユーザーがそれを理解し始めると、
機能を実行するためにシステムに認証すると、その活動は記録され監視され、
彼らがそのような行動を試みようとする可能性。多くの脅迫は脅迫者の匿名性に基づいている。
エージェントであり、彼らの行動との特定や関連の可能性はどんな犠牲を払ってでも避けられる。
アクセス制御が攻撃者による回避の主な標的となる根本的な理由。抑止力も
ユーザーが不正行為をした場合、罰則を受ける可能性があります。たとえば、組織が
ポリシーでは、許可されていない無線アクセスポイントを設置した従業員は解雇されると規定されており、
ほとんどの従業員がワイヤレス アクセス ポイントをインストールしないようにします。
予防的管理
予防的制御は、インシデントの発生を防ぐことを目的としています。予防的アクセス制御は、
ユーザーが何らかの活動や機能を実行するのを阻止する。予防的制御は抑止的制御と異なる。
制御は任意ではなく、（簡単に）回避することはできない。抑止制御は、
制御に従いやすくなる
制御を回避した結果のリスクを冒すよりも、行動を起こす力は
予防的制御は、システム側に行動の権限を与え、
制御はオプションではありません。制御を回避する唯一の方法は
コントロールの実装に欠陥が見つかりました。
補償制御
補償制御は、システムの既存の機能がサポートされていない場合に導入されます。
ポリシーの要件。補償コントロールは、技術的、手続き的、または管理的なものになります。
既存のシステムでは必要な制御がサポートされていない可能性があり、他の
既存の環境を補完し、管理のギャップを埋め、
ポリシー要件の遵守と全体的なリスクの軽減。たとえば、アクセス制御ポリシーでは、
認証プロセスはインターネット上で実行される場合、暗号化されなければならない。
認証目的で暗号化をネイティブにサポートするとコストがかかりすぎる可能性があります。セキュアソケットレイヤー（SSL）は、
暗号化プロトコルは、ポリシーをサポートするために認証プロセスの上に重ねて採用することができます。
声明。他の例としては、職務分離環境があり、これにより、
システムの技術的制限を補い、取引のセキュリティを確保するための特定のタスク。
さらに、承認、監督、管理などの管理プロセスは、
アクセス制御環境のギャップを補います。
検出制御
発見的コントロールは、何かが起こったときに警告を発し、事件後の対応の最も早い段階である。
アクセス制御は脅威に対する抑止力であり、有害な攻撃を防ぐために積極的に活用することができます。
最小権限を適用することで事件を阻止する。しかし、刑事
アクセス制御の性質により、アクセス環境の可視性が大幅に向上し、
組織はアクセス戦略と関連するセキュリティリスクを管理します。前述のように、
認証されたユーザーに提供される管理されたアクセス権限は、
認証されたユーザーの権限を制限することで企業の資産を保護することができます。しかし、
権限が付与された後にユーザーが実行できる操作を制御するオプション。たとえば、ユーザーに権限が付与された場合、
ファイルへの書き込みアクセスがあり、そのファイルが破損、変更、またはその他の悪影響を受けた場合（故意に
（または意図せずに）適用されたアクセス制御の使用は、トランザクションの可視性を提供します。制御
識別、認証、承認、および
システム上の権限の使用。これにより、エラーの発生、実行の試みを検出することができます。
不正なアクションを検知したり、提供された資格情報が使用されたかどうかを検証したりするためにログシステムを使用します。
探偵装置は、行動（成功と失敗の両方）と実行されたタスクの証拠を提供します。
承認されたユーザーによって実行されます。
是正管理
セキュリティ インシデントが発生した場合、セキュリティ インフラストラクチャ内の要素に対して修正アクションが必要になる場合があります。
是正管理とは、環境のセキュリティ態勢を変更して、
欠陥を補い、環境を安全な状態に戻す。セキュリティ
事件は、1つ以上の指令、抑止、予防、または補償制御の失敗を示します。
検出制御は警報や通知を発したかもしれないが、今度は是正制御が機能しなければならない。
事故をすぐに止める。是正措置は
さまざまな形態があり、すべては特定の状況や特定のセキュリティ障害に応じて異なります。
対処される。
回復コントロール
アクセス制御環境への変更は、セキュリティインシデントが発生した場合や、
一時的な補償制御は正確に復元され、通常の操作に戻る必要があります。
アクセス制御、その適用性、ステータス、または管理に影響を及ぼす可能性のある状況はいくつかあります。
イベントには、システム停止、攻撃、プロジェクトの変更、技術的要求、管理上のギャップなどが含まれます。
本格的な災害状況。たとえば、アプリケーションが正しくインストールまたは展開されていない場合、
システムファイルに設定された制御に悪影響を与えたり、知らないうちにデフォルトの管理者アカウントを持つこともあります。
インストール時に実装されます。さらに、従業員が転勤、退職、または一時休暇を取る場合、
職務の分離に関するポリシー要件に影響を与える可能性があります。システムへの攻撃により、
トロイの木馬プログラムの埋め込みにより、クレジットカード情報などの個人情報が漏洩する可能性がある。
カード情報や財務データなど、これらのケースでは望ましくない状況は是正されなければならない。
できるだけ早く制御を通常の操作に戻します。
試験では、さまざまなセキュリティ制御に関する以下の情報を知っておく必要があります。
抑止力制御
抑止制御は潜在的な攻撃者を阻止することを目的としています。アクセス制御は、攻撃者への抑止力として機能します。
脅威や攻撃は、コントロールの存在が潜在的な脅威をある程度抑えるのに十分であるという単純な事実によって防がれる。
攻撃者が制御を回避しようとするのを阻止します。これは、回避に必要な労力が
攻撃者が成功した場合の潜在的な報酬よりも、制御の方がはるかに大きい、あるいは逆に、負の
攻撃が失敗した場合（または捕まった場合）の影響は、成功した場合の利益を上回ります。たとえば、
ユーザー、サービス、アプリケーションの識別と認証、そしてそれが意味するすべてのこと、
攻撃者はシステムとの関連性を恐れるため、システムに関連するインシデントが大幅に減少します。
特定のアクセスパスに制御がない場合、インシデントの数と潜在的な
影響は無限大になります。制御は、プロセスに監視を適用することで、本質的にリスクへの露出を減らします。
この監視は抑止力として機能し、起こりうる影響に対して攻撃者の意欲を抑制します。
抑止力の最も良い例は、従業員が意図的に
許可されていない機能を実行し、望ましくないイベントを引き起こします。
ユーザーが、機能を実行するためにシステムに認証することで、自分の活動が
記録され監視され、そのような行動を試みることが少なくなります。多くの脅威は
脅威エージェントの匿名性、および脅威エージェントと特定され関連付けられる可能性に基づいて、
いかなる犠牲を払ってでも行動は避けられる。
アクセス制御が攻撃者による回避の主なターゲットとなるのは、この根本的な理由によるものです。
抑止策としては、ユーザーが不正行為をした場合に罰則を科すという方法もあります。例えば、
組織のポリシーでは、許可されていない無線アクセスポイントを設置した従業員は、
解雇されれば、ほとんどの従業員が無線アクセスポイントの設置をやめることになるだろう。
予防的管理
予防的制御は、インシデントの発生を防ぐことを目的としています。予防的アクセス制御は、
ユーザーが何らかの活動や機能を実行するのを阻止する。予防的制御は抑止的制御と異なる。
制御は任意ではなく、（簡単に）回避することはできない。抑止制御は、
制御に従いやすくなる
制御を回避した結果のリスクを冒すよりも、行動を起こす力は
予防的制御は、システム側に行動の権限を与え、
制御はオプションではありません。制御を回避する唯一の方法は、制御の実装に欠陥を見つけることです。
補償制御
補償制御は、システムの既存の機能がサポートされていない場合に導入されます。
ポリシーの要件。補償コントロールは、技術的、手続き的、または管理的なものになります。
既存のシステムでは必要な制御がサポートされていない可能性があり、他の技術やプロセスが存在する可能性があります。
既存の環境を補完し、管理のギャップを埋め、ポリシー要件を満たし、
全体的なリスクを軽減します。
たとえば、アクセス制御ポリシーでは、認証プロセスは暗号化する必要があると規定されている場合があります。
インターネット経由で実行されます。認証のための暗号化をネイティブにサポートするようにアプリケーションを調整する
目的によってはコストがかかりすぎる場合があります。暗号化プロトコルであるセキュアソケットレイヤー（SSL）を採用し、
ポリシーステートメントをサポートするために認証プロセスの上に重ねられます。
その他の例としては、特定のタスクを分離する機能を提供する職務分離環境が挙げられる。
システムの技術的制限を補い、取引のセキュリティを確保するためのタスク。
さらに、承認、監督、管理などの管理プロセスを使用して、
アクセス制御環境のギャップを補います。
検出制御
発見的コントロールは、何かが起こったときに警告を発し、事件後の対応の最も早い段階である。
アクセス制御は脅威に対する抑止力であり、有害な攻撃を防ぐために積極的に活用することができます。
最小限の権限を適用することで、インシデントを防止できます。しかし、アクセス制御の検出的な性質により、
アクセス環境の可視性を高め、組織がアクセスを管理できるように支援します。
戦略と関連するセキュリティリスク。
前述のように、認証されたユーザーに提供される強力に管理されたアクセス権限は、
認証された機能を制限することで、企業の資産のリスクを軽減する能力
ユーザーに権限が与えられます。ただし、権限が付与された後にユーザーが実行できる操作を制御するオプションはほとんどありません。
たとえば、ユーザーにファイルへの書き込み権限が与えられていて、そのファイルが破損、変更、またはその他の方法で
悪影響（意図的または意図的でない）を受けた場合、適用されたアクセス制御の使用は
取引の可視性。取引に関するアクティビティを記録するための制御環境を確立できます。
システム上の識別、認証、承認、および権限の使用。
これは、エラーの発生、不正なアクションの実行の試み、または
提供された資格情報が使用されたかどうかを検証します。ログシステムは、検出装置として
承認されたユーザーによって実行されたアクション (成功と失敗の両方) およびタスクの証拠。
是正管理
セキュリティ インシデントが発生した場合、セキュリティ インフラストラクチャ内の要素に対して修正アクションが必要になる場合があります。
是正管理とは、環境のセキュリティ態勢を変更して、
欠陥を修正し、環境を安全な状態に戻す。セキュリティインシデントは、1つまたは複数のセキュリティシステムの障害を意味します。
より指示的、抑止的、予防的、または補償的なコントロール。検出コントロールには、
警報や通知が発せられたが、今度は是正措置が機能してインシデントを阻止しなければならない。
トラック。是正措置は、特定の状況や、
対処する必要がある特定のセキュリティ障害。
回復コントロール
アクセス制御環境への変更は、セキュリティインシデントが発生した場合や、
一時的な補償制御は正確に復元され、通常の操作に戻る必要があります。
アクセス制御、その適用性、ステータス、または管理に影響を及ぼす可能性のある状況はいくつかあります。
イベントには、システム停止、攻撃、プロジェクトの変更、技術的要求、管理上のギャップなどが含まれます。
本格的な災害状況。たとえば、アプリケーションが正しくインストールまたは展開されていない場合、
システムファイルに設定された制御に悪影響を与えたり、知らないうちにデフォルトの管理者アカウントを持つこともあります。
インストール時に実装されます。
さらに、従業員が転勤、退職、一時休暇などによりポリシーに影響を及ぼす可能性があります。
職務分離に関する要件。システムへの攻撃により、
トロイの木馬プログラムであり、クレジットカード情報などの個人情報を漏洩する可能性がある。
財務データ。これらのケースでは、望ましくない状況はできるだけ早く是正され、
制御は通常の動作に戻りました。
次の回答は間違っています。
その他の例は是正制御に属します。
この質問を作成するために、次の参考資料が使用されました:
CISA レビューマニュアル 2014 ページ番号 44
そして
公式 ISC2 CISSP ガイド第 3 版 ページ番号 50 および 51