* 技術的脆弱性とは、情報システムまたはリソースの設計または実装における弱点または欠陥であり、組織の目的または業務に影響を及ぼす可能性のある脅威または危害源によって悪用または侵害される可能性があります。技術的脆弱性は、人為的ミス、システム障害、プロセスの非効率性、リソースの制限など、さまざまな要因によって引き起こされる可能性があります。
* 脆弱性評価とは、組織の情報システムまたはリソースに存在する、あるいは発生する可能性のある技術的な脆弱性を特定・評価し、その重大性と影響度を判断するプロセスです。脆弱性評価は、組織がリスクを評価・優先順位付けし、リスクを軽減または防止するための適切な管理策や対策を設計・実施するのに役立ちます。
* 最近発見された技術的な脆弱性が積極的に活用されているシナリオに対する最善の対応は、
* 脆弱性評価を実施することが、組織が次の質問に対処するのに役立つためです。
* 技術的な脆弱性の性質と範囲はどのようなもので、情報システムまたはリソースの機能やセキュリティにどのような影響を与えますか?
* 技術的な脆弱性はどのように悪用または侵害されているか、また、誰によってまたは何によって悪用されているか?
* 組織とその利害関係者にとって、技術的な脆弱性の悪用または侵害の潜在的な結果または影響は何ですか?
* 技術的な脆弱性はどのように検出され、報告されるのでしょうか。また、その脆弱性に対処または修正するために利用できる、あるいは実行可能なオプションやソリューションは何でしょうか。
* 脆弱性評価を実施することで、組織は情報システムまたはリソースの品質とパフォーマンスを改善・最適化し、技術的な脆弱性を軽減または排除することができます。また、情報システムまたはリソースを組織の目標と要件に適合させ、組織のポリシーと標準に準拠させるのにも役立ちます。
* その他のオプションは、最近発見された技術的な脆弱性が積極的に悪用されているというシナリオに対する最適な対応ではありません。なぜなら、脆弱性評価を実施する主な目的と利点、つまり技術的な脆弱性を特定して評価し、その重大性と影響を判断するという目的と利点に対応していないからです。
* 脆弱性管理プロセスの評価とは、技術的な脆弱性を特定、分析、評価、伝達し、組織の目標と要件に適合させるために用いられるプロセスの妥当性と有効性を評価・検証するプロセスです。脆弱性管理プロセスの評価は、組織がプロセスを改善・最適化し、プロセスにおけるギャップや弱点を削減または排除するのに役立ちますが、技術的な脆弱性の性質と範囲、そしてそれが組織とその利害関係者にどのような影響を与えるかを示すものではないため、シナリオに対する最善の対応とは言えません。
* 統制自己評価の実施とは、情報システムおよびリソースの機密性、完全性、可用性、信頼性を確保するための統制の適切性と有効性を、情報システムの活動または機能に関与または責任を負う個人またはグループからの意見とフィードバックに基づいて評価および検証するプロセスです。統制自己評価の実施は、組織が統制上の欠陥を特定して文書化し、組織の目標と要件に適合させるのに役立ちますが、技術的な脆弱性の性質と範囲、そしてそれが組織とその利害関係者にどのような影響を与えるかを示すものではないため、シナリオに対する最善の対応とは言えません。
* 対象固有のリスクの再評価とは、技術的脆弱性の影響を受ける情報システムまたはリソースである対象の性質または特性に固有の、いかなる対策も講じていない場合に生じるリスクの量と種類を再評価し、再計算するプロセスです。対象固有のリスクの再評価は、組織がリスクの露出度またはレベルを理解し、文書化し、組織のリスク選好度およびリスク許容度と整合させるのに役立ちますが、技術的脆弱性の性質と範囲、そしてそれが組織とその利害関係者に及ぼす影響を示すものではないため、シナリオに対する最善の対応とは言えません。参考文献
* ISACA、CRISCレビューマニュアル、第7版、2022年、40-41、47-48、54-55、58-59、62-63ページ
* ISACA、CRISCレビュー問題、解答、解説データベース、2022年、QID 195
* CRISC 練習クイズと試験準備

リスク登録簿の主な目的は、特定されたすべてのリスク、その分析、そして対応策に関する包括的かつ最新の記録を提供することで、十分な情報に基づいたリスク管理上の意思決定を可能にすることです。リスク登録簿は、リスク管理活動の状況と結果を文書化し、監視し、伝達するためのツールです。また、リスク登録簿は、リスク管理プロセスと管理策の有効性のレビューと評価を容易にします。リスク領域の文書化、リスク理解の促進、ステークホルダーの特定などは、リスク登録簿のメリットとして挙げられますが、主な目的ではありません。参考文献
= リスクと情報システム管理研究マニュアル、第7版、第2章、セクション2.1.1.3、531ページ
1: ISACA リスクおよび情報システム管理認定 (CRISC) 試験ガイド、質問への回答
640.

侵入検知システム（IDS）は、ネットワークトラフィックとデバイスを監視し、既知の悪意のあるアクティビティ、疑わしいアクティビティ、またはセキュリティポリシー違反を検出するネットワークセキュリティツールです1。IDSは潜在的な脅威を検出するとアラートを生成しますが、すべてのアラートが正確または適切であるとは限りません。IDSのパフォーマンスと信頼性に影響を与える可能性のあるエラーには、誤検知と検知漏れの2種類があります2。
誤検知とは、IDSが無害または正常なアクティビティを悪意のあるアクティビティまたは疑わしいアクティビティとして誤ってフラグ付けすることです。例えば、IDSは正当なネットワークスキャンや無害なソフトウェアアップデートに対してアラートを発することがあります。誤検知は、セキュリティチームに不要なアラートを大量に送信し、真の脅威から注意を逸らさせ、IDSを無視したり無効化したりする可能性があるため、IDSの信頼性と効率を低下させる可能性があります3。
フォールスネガティブとは、IDSが悪意のある、または疑わしいアクティビティをそのように認識できない場合を指します。例えば、IDSは、既知のシグネチャやパターンに一致しない、ステルス性の高い、あるいは新しい攻撃を見逃してしまう可能性があります。フォールスネガティブは、攻撃者がIDSを回避し、検知されることなく損害を与えたりデータを盗んだりすることを可能にするため、ネットワークのセキュリティと整合性を脅かす可能性があります4。
リスク管理担当者は、誤検知を最小限に抑えるためにアラートを分析することを推奨すべきです。これは、IDSの精度と有用性を向上させる最善の方法だからです。アラートを分析することで、リスク管理担当者は以下のことが可能になります。
誤って設定された、または古い IDS ルール、ネットワークの異常、または悪意のあるトラフィックに似ている正当なトラフィックなど、誤検知の発生源と原因を特定します5。
警告しきい値、感度レベル、検出方法、ルール ベースなどの IDS 設定を調整または微調整して、誤検出のリスクを増やすことなく誤検出の数を減らします。
ログ、ネットワーク トラフィック分析、脅威インテリジェンスなどの他の情報ソースを使用してアラートを検証または確認し、アラートが真陽性または誤検知であると確認または却下します。
アラートの重大度、影響度、または可能性に基づいてアラートを優先順位付けまたは分類し、最も重要なアラートまたは関連性の高いアラートに重点を置き、アラート疲れを回避します。
その他のオプションは、以下の理由により最善の策ではありません。
ピーク トラフィックに基づいてアラートしきい値をリセットすることは、誤検知を最小限に抑える信頼性の高い効果的な方法ではなく、誤検知のリスクも高まる可能性があります。アラートしきい値とは、IDS からアラートをトリガーするアクティビティまたは逸脱のレベルです。しきい値の設定が高すぎると、IDS はしきい値を下回る悪意のあるアクティビティや疑わしいアクティビティを見逃す可能性があります。しきい値の設定が低すぎると、IDS はしきい値を超える正常または無害なアクティビティに対して過剰なアラートを生成する可能性があります。最適なしきい値は、ネットワーク サイズ、トポロジ、トラフィック量、ベースラインなど、さまざまな要因によって異なります。ピーク トラフィックは時間、曜日、季節によって変化し、正常または予想されるネットワークの動作を反映しない可能性があるため、最適なしきい値の良い指標にはなりません。
このシナリオでは、トラフィックを分析して誤検知を最小限に抑えることは、主な課題や目標ではありません。問題はアラート数の少なさではなく、アラート数が多いことにあるからです。トラフィック分析は、IDSが見逃した可能性のある悪意のあるアクティビティや不審なアクティビティを特定するのに役立ちますが、誤検知の根本原因を解決したり、IDSのパフォーマンスを向上させたりすることはできません。さらに、トラフィック分析は、特に大規模または複雑なネットワークの場合、時間とリソースを大量に消費する可能性があり、リスク管理担当者が持っていない特殊なツールやスキルが必要になる場合もあります。
ネットワークアナライザーを使用したトラフィックのスニッフィングは、ネットワークまたは組織のプライバシーまたはセキュリティポリシーに違反する可能性があるため、このシナリオでは適切または実行可能なオプションではありません。トラフィックのスニッフィングとは、ネットワーク上のデバイスによって送受信されるネットワークパケットをキャプチャして検査することを意味します。ネットワークアナライザーは、この機能を実行し、パケットデータを読み取り可能な形式で表示できるツールです。ただし、トラフィックのスニッフィングによって、パスワード、ユーザー名、クレジットカード番号など、パケットに含まれる可能性のある機密情報が漏洩する可能性もあります。そのため、トラフィックのスニッフィングには、ネットワーク所有者またはユーザーの承認または同意が必要になる場合があり、法律または規制によって制限または禁止されている場合があります。
参考文献
侵入検知システム（IDS）とは何ですか？ - IBM
侵入検知システム - Wikipedia
侵入検知システムとは？ - MUO
2024年版 侵入検知システム（IDS）ソフトウェア トップ12 - Comparitech
侵入検知システム（IDS）とは？ - Fortinet
[侵入検知システムにおける誤検知と誤検知]
[侵入検知システムにおける誤検知と誤検知]
[IDS/IPSの誤検知を減らす方法]
[IDS/IPSに適切なアラートしきい値を設定する方法]
[ネットワーク トラフィック分析: その概要と仕組み]
[ネットワークアナライザーとは？ - Techopediaによる定義]

変更管理は、IT 環境へのあらゆる変更が計画、承認、テスト、および文書化されることを保証するため、予定外のパッチ適用を防ぐ最善の方法です。変更管理は、IT システム、アプリケーション、インフラストラクチャ、またはプロセスへの変更の実装を制御するプロセスです。変更によって引き起こされる混乱、エラー、または障害のリスクを最小限に抑えることを目的としています。パッチの適用は、IT システムまたはアプリケーションのセキュリティ、機能、またはパフォーマンスに影響を及ぼす可能性のある変更の一種です。したがって、パッチを適用する場合は、変更管理プロセスとスケジュールに従い、予定外または許可されていないパッチの適用を避ける必要があります。ネットワークベースのアクセス制御、代替制御、および職務の分離はすべて、不正アクセスや悪意のあるアクセスから IT 環境を保護するために有効な制御ですが、変更管理プロセスに対応していないため、予定外のパッチ適用を防ぐことはできません。
参考文献 = リスクおよび情報システム管理研究マニュアル、第5章、セクション5.4.2、211ページ