セクション: 情報システムの取得、開発および実装 説明:
通信ハンドラー - ダイヤルアップ回線、公衆交換網、複数の専用回線、または付加価値ネットワーク (VAN) を介して取引先間で電子文書を送受信するプロセス。
試験のために、従来の EDI 機能に関する以下の情報を知っておく必要があります。
従来のEDIプロセスによるバッチ伝送プロセスでのデータ移動は、通常、各取引先のコンピュータシステム内の3つの機能によって行われます。通信ハンドラー - ダイヤルアップ回線、公衆交換網、複数の専用線、または付加価値ネットワーク（VAN）を介して、取引先間で電子文書を送受信するプロセスです。VANは、コンピュータ化されたメッセージスイッチングおよびストレージ機能を使用して、郵便局に似た電子メールボックスサービスを提供します。VANは、組織からのすべての送信トランザクションを受信し、宛先ごとに仕分けし、担当者がログオンしてメールボックスを確認し、送信内容を受信する際に担当者に渡します。
EDIインターフェース - アプリケーションシステムと通信ハンドラー間のデータの操作とルーティングを行うインターフェース機能。このインターフェースは2つのコンポーネントで構成されます。EDIトランスレータ - 標準フォーマット（ANSI X12）と取引先の固有情報の間でデータを変換するデバイス。
アプリケーションインターフェース - このインターフェースは、電子取引をアプリケーションシステムとの間でやり取りし、データマッピングを実行します。データマッピングとは、EDI変換プロセスからデータを抽出し、受信側企業のデータまたはプロセスと統合するプロセスです。
3. アプリケーション システム - 取引先に送信されるデータ、または取引先から受信されるデータを処理するプログラム。
EDI インターフェイス用に新しいコントロールを開発する必要がありますが、既存のアプリケーションのコントロールは、変更しない場合は通常影響を受けません。
誤った回答は次のとおりです。
EDI インターフェイス - アプリケーション システムと通信ハンドラーの間でデータを操作およびルーティングするインターフェイス機能。
アプリケーション システム - 取引先に送信されるデータ、または取引先から受信されるデータを処理するプログラム。
EDI インターフェイス用に新しいコントロールを開発する必要がありますが、既存のアプリケーションのコントロールは、変更しない場合は通常影響を受けません。
EDI トランスレータ - このデバイスは、標準形式 (ANSI X12) と取引先の独自情報の間でデータを変換します。
参照：
CISAレビューマニュアル2014 ページ番号178

説明/参照:
ブラインドテストとは、侵入テスターが対象に関する知識をほとんど、あるいは全く持たない状態でテストを行うことを指します。このようなテストは、侵入テスターが対象を調査し、公開されている情報に基づいてプロファイリングを行う必要があるため、コストがかかります。
試験では、以下の侵入タイプを知っておく必要があります。
外部テスト - ターゲットシステムの外部（通常はインターネット）からターゲットのネットワーク境界への攻撃および制御の回避の試みを指します。
内部テスト - 境界内からターゲットに対する攻撃および制御の回避の試みを指します。
目的は、外部境界が侵害された場合、および/またはネットワーク内の承認されたユーザーがネットワーク上の特定のリソースのセキュリティを侵害しようとした場合に何が起こるかを特定することです。
ブラインドテスト - 侵入テスターが対象の情報システムに関する知識をほとんど、あるいは全く持たない状態でテストを実施することを指します。このようなテストは、侵入テスターが対象を調査し、公開されている情報に基づいてプロファイリングを行う必要があるため、コストがかかります。
二重ブラインドテスト - ブラインドテストの延長線上にあるテストで、対象組織の管理者とセキュリティ担当者はテスト実施を事前に知らされません。このテストは、対象組織のインシデント対応能力と対応能力を効果的に評価できます。
標的型テスト - 標的のITチームと侵入テスターの両方がテスト活動を把握した状態で、標的に対する攻撃および制御回避の試みを指します。侵入テスターに​​は、標的とネットワーク設計に関する情報が提供されます。さらに、システムにおける権限昇格の可能性を特定するための出発点として、権限が制限されたユーザーアカウントも提供されます。
誤った回答は次のとおりです。
外部テスト - ターゲットシステムの外部（通常はインターネット）からターゲットのネットワーク境界への攻撃および制御の回避の試みを指します。
内部テスト - 境界内からターゲットに対する攻撃および制御の回避の試みを指します。
目的は、外部境界が侵害された場合、および/またはネットワーク内の承認されたユーザーがネットワーク上の特定のリソースのセキュリティを侵害しようとした場合に何が起こるかを特定することです。
標的型テスト - 標的のITチームと侵入テスターの両方がテスト活動を把握した状態で、標的に対する攻撃および制御回避の試みを指します。侵入テスターに​​は、標的とネットワーク設計に関する情報が提供されます。さらに、システムにおける権限昇格の可能性を特定するための出発点として、権限が制限されたユーザーアカウントも提供されます。
この質問を作成するために、以下の参考資料が使用されました。
CISAレビューマニュアル2014 ページ番号369

セクション: 情報資産の保護
Explanation:
IS 監査人は、資産の有効性と利用性を単に確認するのではなく、十分なアクセス制御、適切なアクセス ポリシー、保護手段と手順の有効性を重視します。