セクション: 情報資産の保護
Explanation:
抽出とは、画像化されたデータセットからデータを識別し、選択するプロセスです。このプロセスには、品質、整合性、信頼性の基準が組み込まれている必要があります。抽出プロセスには、使用されたソフトウェアと画像が作成されたメディアが含まれます。抽出プロセスには、システムログ、ファイアウォールログ、監査証跡、ネットワーク管理情報など、さまざまなソースが含まれる場合があります。
CISA 試験では、監査計画中にコンピューターフォレンジックの以下の重要な要素を知っておく必要があります。
データ保護 - 求められている情報の改ざんを防ぐため、あらゆる対策を講じる必要があります。電子証拠の提出を求め、いかなる手段によっても破棄しないことを関係者に通知するための具体的な手順を確立することが重要です。
データ収集 - 必要なすべての情報とデータは、管理された場所に転送する必要があります。これには、固定ディスクドライブやリムーバブルメディアなど、あらゆる種類の電子メディアが含まれます。各デバイスは、書き込み保護されていることを確認する必要があります。これは、書き込みブロッカーと呼ばれるデバイスを使用することで実現できます。
イメージング - イメージングとは、複数の分析を実行する際に元のデータや情報の損傷を防ぐため、データのビット単位のコピーを取得するプロセスです。このプロセスは、削除されたファイル、削除されたファイルの断片、その他の情報など、ディスクから残存データを取得して分析するために行われます。これは、イメージングによってディスク表面がセクターごとに複製されるため可能です。
抽出 - このプロセスは、イメージ化されたデータセットからのデータの識別と選択から構成されます。このプロセスには、品質、整合性、信頼性の基準が組み込まれている必要があります。抽出プロセスには、使用されたソフトウェアとイメージが作成されたメディアが含まれます。抽出プロセスには、システムログ、ファイアウォールログ、監査証跡、ネットワーク管理情報など、さまざまなソースが含まれる場合があります。
照会 - 統合は、抽出されたデータから電話番号、IP アドレス、個人の名前などの事前の指標または関係を取得するために使用されます。
調査/正規化 - このプロセスでは、抽出された情報を調査員が理解できる形式に変換します。これには、16進数または2進数のデータを読み取り可能な文字またはデータ分析ツールに適した形式に変換することが含まれます。
報告 - コンピュータフォレンジックから得られた情報は、適切な方法で収集・報告されなければ、その価値は限定されます。情報システム監査人が報告書を作成する際には、システムの監査が行われた理由、コンピュータデータがどのように監査されたか、そして分析からどのような結論が導き出されたかを記載する必要があります。報告書は、インシデントの詳細を正確に記述することなど、以下の目標を達成する必要があります。
意思決定者に理解しやすいものにします。
法的なセキュリティの集中攻撃に耐えられる
明確かつ誤解されないようにしましょう。
簡単に参照できる
到達した結論を説明するために必要なすべての情報が含まれています
必要に応じて有効な結論、意見、または推奨事項を提示する
タイムリーに作成されます。
誤った回答は次のとおりです。
調査/正規化 - このプロセスでは、抽出された情報を調査員が理解できる形式に変換します。これには、16進数または2進数のデータを読み取り可能な文字またはデータ分析ツールに適した形式に変換することが含まれます。
照会 - 統合は、抽出されたデータから電話番号、IP アドレス、個人の名前などの事前の指標または関係を取得するために使用されます。
報告 - コンピュータフォレンジックから得られた情報は、適切な方法で収集・報告されなければ、その価値は限定されます。情報システム監査人が報告書を作成する際には、システムがレビューされた理由、コンピュータデータがどのようにレビューされたか、そして分析からどのような結論が導き出されたかを記載する必要があります。
Explanation:
CISAレビューマニュアル2014 ページ番号367と368

セクション: 情報資産の保護

監査基準では、情報システム監査人が十分かつ適切な監査証拠を収集することが求められています。監査人は潜在的な問題を発見し、それが単発的なインシデントなのか、それとも体系的な統制の不備なのかを判断する必要があります。この段階では監査指摘事項を発表するにはまだ初期段階であり、経営陣に説明を求めるのが賢明ですが、状況の深刻さを適切に評価するためには、追加の証拠を収集する方が賢明です。この時点では未確認のバックアップ障害は、重要なデータに関係する場合、深刻な問題となります。しかし、問題は問題が検出されたサーバー上のデータの重要性ではなく、他のサーバーに影響を与える体系的な統制の不備が存在するかどうかです。