説明
組織のオフィス間で機密データを転送する方法をレビューする情報システム監査人が最も懸念するのは、その方法が公開鍵インフラストラクチャ (PKI) のみに依存していることです。PKI は、暗号化と認証1 のためのデジタル証明書と公開鍵を作成、管理、取り消しするために使用される一連のツールと手順です。PKI は、インターネット上で安全で信頼性の高い通信を提供できますが、考慮する必要がある制限とリスクもいくつかあります。
PKI の主な制限の 1 つは、デジタル証明書を発行および検証する機関である証明機関 (CA) の信頼性とセキュリティに依存していることです2。CA が侵害されたり悪意を持ったりすると、偽の証明書や不正な証明書が発行され、正当な当事者になりすましたり、機密データを傍受したりする可能性があります。たとえば、2011 年にハッカーが CA DigiNotar に侵入し、Google、Yahoo、Microsoft などのドメインに対して数百の不正な証明書を発行しました3。これにより、ハッカーは中間者攻撃を実行し、イランのユーザーのオンライン活動をスパイすることができました3。
PKI のもう 1 つの制限は、維持および運用に複雑でコストのかかるインフラストラクチャが必要になることです。PKI には、サーバー、ソフトウェア、ハードウェア、ポリシー、手順など、定期的に構成、更新、監視する必要がある複数のコンポーネントが含まれます1。また、PKI には、ユーザー、管理者、CA、登録機関 (RA) などのさまざまな関係者間の高度な技術的専門知識と調整も必要です1。
PKI は、セキュリティや機能性を損なう可能性のある人為的エラーや過失に対して脆弱になる可能性があります。たとえば、2018 年に Apple の macOS High Sierra のソフトウェア バグにより、システムは証明書の有効期間を確認せずに、すべての証明書を有効なものとして受け入れるようになりました。これにより、攻撃者は期限切れまたは取り消された証明書を使用してセキュリティ チェックを回避できる可能性があります。
したがって、組織がオフィス間で機密データを転送するために PKI のみに依存している場合、情報システム監査人は懸念する必要があります。PKI は高いレベルのセキュリティと信頼性を提供できますが、対処する必要がある固有のリスクと課題もあります。情報システム監査人は、組織が PKI システムの信頼性と整合性を確保するために適切な制御と対策を実施しているかどうかを評価する必要があります。情報システム監査人は、対称暗号化アルゴリズムやデジタル署名の使用など、データ転送を保護するための代替または補完的な方法を組織が持っているかどうかも考慮する必要があります。対称暗号化アルゴリズムは、暗号化と復号化の両方に同じキーを使用するため、PKI で使用される非対称暗号化アルゴリズムよりもパフォーマンスが速く、オーバーヘッドが低くなります4。デジタル署名は、送信者の ID と信頼性、およびデータの整合性を確認するために暗号化技術を使用します5。

顧客データベースとリモート コール センターの双方向レプリケーションの提案プロジェクトを評価する場合、IS 監査人はレプリケーション中にデータベースの競合が管理されていることを確認する必要があります。これには、競合するデータや重複レコードなど、データベース間の矛盾を解消するようにレプリケーション プロセスが設計されていることを確認することが含まれます。さらに、IS 監査人は、セキュリティとアクセス制御を確認して、レプリケーションが安全に実行され、許可されたユーザーだけがレプリケーションされたデータにアクセスできるようにする必要があります。

説明/参照:
コンピューティングにおいて、サービス拒否 (DoS) 攻撃または分散型サービス拒否 (DDoS) 攻撃は、マシンまたはネットワーク リソースをその対象ユーザーが利用できないようにする試みです。DoS 攻撃の実行手段、動機、およびターゲットはさまざまですが、一般的には、インターネットに接続されたホストのサービスを一時的または無期限に中断または停止する試みです。明確に言うと、DDoS (分散型サービス拒否) 攻撃は、2 人以上の人物またはボットによって送信されます (ボットネットを参照)。DoS (サービス拒否) 攻撃は、1 人の人物またはシステムによって送信されます。
キーストローク ロギングは、キー ロギングまたはキーボード キャプチャーとも呼ばれ、キーボードで打たれたキーを記録 (またはロギング) する操作です。通常は、キーボードを使用する人が自分の操作が監視されていることに気付かないように、秘密裏に行われます。また、人間とコンピューターの相互作用の研究にも非常に正当な用途があります。キー ロギングの方法には、ハードウェアおよびソフトウェア ベースのアプローチから音響分析まで、さまざまなものがあります。
コンピュータ犯罪には 4 つの種類があります。
1. コンピュータが犯罪の標的 - 犯人は別のコンピュータを使用して攻撃を開始します。この攻撃では、特定のコンピュータが標的となります。例: サービス拒否 (DoS)、ハッキング
2. コンピュータが犯罪の対象 - この攻撃では、犯人はコンピュータを使用して犯罪を犯し、ターゲットは別のコンピュータです。この攻撃では、ターゲットが定義される場合と定義されない場合があります。犯人は特定のターゲットを念頭に置かずに攻撃を開始します。例: 分散型 DoS、マルウェア
3. コンピュータは犯罪の道具です - 犯人はコンピュータを使って犯罪を犯しますが、標的はコンピュータではありません。標的はコンピュータに保存されているデータや情報です。例: 詐欺、不正アクセス、フィッシング、キーロガーのインストール
4. コンピュータは犯罪を象徴する - 犯人は機密情報を入手するためにコンピュータのユーザーを誘惑します。
ターゲットはコンピューターのユーザーです。例: フィッシング、偽の Web サイト、詐欺メールなどのソーシャル エンジニアリング手法。次の回答は正しくありません。
盗聴 - ブラック法律辞典の定義によると、他人のプライベートな会話を本人の同意なく密かに聞く行為です。これは一般に非倫理的であると考えられており、「盗聴者は自分の良いことをほとんど聞かない...盗聴者は常に自分に関係のある事柄を聞こうとする」という古い格言があります。トラフィック分析 - 通信のパターンから情報を推測するためにメッセージを傍受して調査するプロセスです。メッセージが暗号化されていて解読できない場合でも実行できます。一般に、観察されたメッセージ、または傍受されて保存されたメッセージの数が多いほど、トラフィックから推測できる情報が多くなります。トラフィック分析は、軍事情報、対諜報活動、または生活パターン分析のコンテキストで実行でき、コンピュータ セキュリティの懸念事項です。
マスカレード - マスカレード攻撃は、ネットワーク ID などの偽の ID を使用して、正当なアクセス ID を介して個人のコンピューター情報に不正にアクセスする攻撃です。認証プロセスが完全に保護されていない場合、マスカレード攻撃に対して非常に脆弱になる可能性があります。
なりすまし攻撃は、盗んだパスワードやログオン情報、プログラムの欠陥、認証プロセスを回避する方法などを利用して実行されます。この攻撃は、組織内の人物によって実行されるか、組織がパブリック ネットワークに接続されている場合は部外者によって実行される可能性があります。なりすまし攻撃者が取得するアクセスの量は、取得した認証レベルによって異なります。したがって、なりすまし攻撃者は、企業組織への最高レベルのアクセス権限を取得した場合、サイバー犯罪のあらゆる機会を得ることができます。個人攻撃は、それほど一般的ではありませんが、有害となる可能性があります。
この質問を作成するために、以下の参考資料が使用されました:
CISA レビューマニュアル 2014。ページ番号 321
http://en.wikipedia.org/wiki/サービス拒否攻撃
http://en.wikipedia.org/wiki/盗聴
http://en.wikipedia.org/wiki/Traffic_analysis
http://www.techopedia.com/definition/4020/masquerade-攻撃

セクション: 情報システムの監査プロセス

セクション: 情報資産の保護
Explanation:
個人情報の国境を越えた移動を禁止するプライバシー法により、顧客情報を含むデータ ウェアハウスを別の国に配置することは不可能になります。タイム ゾーンの違いや通信コストの上昇は、より管理しやすくなります。ソフトウェア開発では、通常、オフショア操作を扱う場合、より詳細な仕様が必要になります。