説明/参照:
Explanation:
プローブの場合は、状況を監視し、影響を受けるネットワーク セグメントを分離する必要があります。
ルーターの再起動、非武装地帯 (DMZ) サーバーの電源オフ、サーバー トレース ルーティングの有効化は保証されません。

セクション: 情報セキュリティプログラム管理
Explanation:
SQLインジェクション脆弱性は、細工された、または不正な形式のユーザー入力がSQLクエリに直接置換され、情報漏洩につながる場合に発生します。データベースリスナーの強化はデータベースのセキュリティを強化しますが、SQLインジェクション脆弱性とは無関係です。正規化はデータベースの有効性と効率性に関連しますが、SQLインジェクション脆弱性とは無関係です。正規化されたデータベースでもSQLインジェクションが発生する場合があります。SQLインジェクション脆弱性は、オペレーティングシステムではなく、SQLクエリの設計を悪用します。

説明
情報セキュリティ管理者は、インシデント発生を確認した後、情報オーナーに連絡する必要があります。これはインシデント対応プロセスの第一段階です。情報オーナーとは、インシデントの影響を受ける情​​報資産に対する権限と責任を負う人物です。情報オーナーは、情報資産の保護、復旧、または修復に関する意思決定や行動を取らなければならない可能性があるため、インシデント発生について可能な限り速やかに通知を受ける必要があります。また、インシデントの性質や影響度に応じて、事業部門、顧客、規制当局、メディアなどの他の利害関係者とのコミュニケーションが必要となる場合もあります。
その他の選択肢は、インシデント対応プロセスの後の段階で発生するため、情報所有者に連絡する適切なタイミングではありません。インシデントの封じ込め、軽減、またはログ記録後に情報所有者に連絡すると、インシデントの通知とエスカレーション、さらには情報所有者の関与と協力が遅れる可能性があります。さらに、インシデントの封じ込めまたは軽減後に情報所有者に連絡することは、インシデント対応チームが情報所有者の同意または承認なしに、情報資産に影響を与える可能性のある措置をすでに講じていることを意味する場合があります。潜在的なインシデントがログに記録された後に情報所有者に連絡すると、潜在的なインシデントが実際のまたは重大なインシデントではない可能性があり、情報所有者の資産に影響を与えない可能性があるため、不必要な警戒や混乱を引き起こす可能性があります。参考文献 = CISMレビューマニュアル、第16版、ISACA、2022年、pp. 219-220、226-227。
CISM の質問、回答、説明データベース、ISACA、2022 年、QID 1009。

このような状況において、情報セキュリティ管理者がまず行うべきことは、リスクアセスメントを実施することです。リスクアセスメントとは、オフィスでのカメラ使用を禁止するポリシー違反から生じる情報セキュリティリスクを特定、分析、評価するプロセスです。リスクアセスメントは、スマートフォンやタブレット端末のカメラが不正または不適切に使用される場合（機密情報の取得、送信、開示、従業員、顧客、パートナーのプライバシーやセキュリティの侵害、法的要件や規制要件への違反など）の発生確率と影響を判断するのに役立ちます。また、リスクアセスメントは、カメラの使用を無効化、制限、監視するための技術的、管理的、または物理的な制御の実装、ポリシーの遵守と認識の徹底、現在のビジネスニーズと環境を反映したポリシーの改訂など、適切なリスク対応オプションを特定し、優先順位を付けるのに役立ちます。さらに、リスクアセスメントは、リスクレベルと状況を上級管理職や関係者に伝達・報告し、ポリシーとリスク管理プロセスの改善と最適化のためのフィードバックと推奨事項を提供するのにも役立ちます。
ポリシーの改訂、根本原因分析の実施、そしてアクセプタブルユースポリシーの周知は、情報セキュリティマネージャーがリスクアセスメント実施後に実施できる様々なアクションですが、必ずしも最初に行うべきものではありません。ポリシーの改訂とは、ビジネス目標と戦略に整合させ、ビジネス環境と脅威環境の変化や課題に対応し、リスクアセスメントとステークホルダーからのフィードバックや提案を取り入れるために、ポリシーを更新・修正するプロセスです。
根本原因分析とは、ポリシー違反につながった根本的な原因や要因を調査・特定するプロセスです。例えば、認識、トレーニング、施行の不足、ポリシーの不一致や曖昧さ、ポリシーとビジネス要件や期待との矛盾や乖離などが挙げられます。利用規定の周知とは、従業員やスマートフォン・タブレット端末のその他のユーザーに、ポリシーの目的、適用範囲、内容、ユーザーの役割と責任、ポリシーの遵守または違反によるメリットと結果、ポリシーに関する問題やインシデントの報告・解決方法とチャネルについて情報提供・教育するプロセスです。参考文献：CISMレビューマニュアル第15版、51～531ページ、CISM練習クイズ、問題
1482