説明
選択肢 C と B も正しいですが、A の方がより一般的であり、両方が組み込まれています。D は不正解です。実稼働環境ではサンドボックス化が行われないためです。

説明
ベンダーの推奨事項は、監査後のギャップ分析には関係ありません。通常、ベンダーの推奨事項は企業ポリシーや契約要件の策定に役割を果たしますが、必須ではありません。規制、企業ポリシー、および契約上の要件はすべて、システム上で期待される、または義務付けられる制御を決定します。

説明
説明クロスサイト スクリプティング (XSS) は、悪意のある攻撃者が検証やサニタイズ プロセスを経ずに信頼できないデータをユーザーのブラウザに送信できる攻撃、またはコードがブラウザによる処理から適切にエスケープされていない可能性があります。その後、コードはユーザーのブラウザ上で独自のアクセス権と権限で実行され、攻撃者がユーザーの Web トラフィックをリダイレクトしたり、セッションからデータを盗んだり、ブラウザがアクセスできるユーザー自身のコンピュータ上の情報にアクセスしたりする可能性があります。関数レベルのアクセス制御が欠落しており、アプリケーションは最初のログイン プロセス中に承認をチェックするだけで、関数呼び出しごとにそれ以上の検証を行いません。インジェクション攻撃とは、悪意のある攻撃者が、アプリケーションやシステムに通常の処理やクエリの一部としてコードを実行させる目的で、入力フィールドやデータ フィールドを通じてコマンドやその他の任意のデータを送信する攻撃です。クロスサイト リクエスト フォージェリは、攻撃により、認証されたユーザーが、自分のアクセス権と資格情報で実行されているアプリケーションに偽のリクエストを送信するように強制された場合に発生します。

説明
動的マスキングには、サービスのデータ層とアプリケーション層の間でのトランザクション使用中の機密データ フィールドのライブ置換が含まれます。静的マスキングには、機密データ フィールドがマスクされた完全なデータ セットの作成が含まれますが、動的マスキングのようにライブ トランザクション中には実行されません。アクティブとトランザクションは同様のタイプの回答として提供されますが、マスキングのタイプではありません。

説明
マスキングには、データセット内の特定のデータを新しい値に置き換えることが含まれます。たとえば、クレジット カードのフィールドでは、オンラインで何かを購入したことのあるほとんどの人が証言できるように、クレジット カード番号のほぼ全体がアスタリスクなどの文字でマスクされ、最後の 4 桁は識別と確認のために表示されたままになっています。