説明
Explanation:
SOCガイドラインでは、セキュリティ以外の4つの原則（可用性、機密性、処理の完全性、プライバシー）のいずれかを監査する場合、セキュリティ原則も監査対象に含めなければならない。

説明／参考資料：
Explanation:
契約上の個人情報（PII）には、契約レベルで定義された機密情報および個人情報の取り扱いに関する具体的な要件が定められています。これらの具体的な要件には、通常、PIIを取り扱うために必要な手順とポリシーが文書化されます。具体的には、特定のセキュリティ管理と構成、必要なポリシーや手順、データやシステムへのアクセス権限を持つ者の制限などが規定される場合があります。

クロスサイトスクリプティング (XSS) は、悪意のある攻撃者が検証やサニタイズ処理を経ずに信頼できないデータをユーザーのブラウザに送信したり、ブラウザによる処理からコードが適切にエスケープされなかったりする攻撃です。コードはユーザーのブラウザ上でユーザー自身のアクセス権限で実行され、攻撃者はユーザーのウェブトラフィックをリダイレクトしたり、セッションからデータを盗んだり、ブラウザがアクセスできるユーザー自身のコンピュータ上の情報にアクセスしたりする可能性があります。機能レベルのアクセス制御が欠落している状態は、アプリケーションが最初のログインプロセス中にのみ認証を確認し、各関数呼び出しでさらに検証を行わない場合に発生します。インジェクション攻撃は、悪意のある攻撃者がコマンドやその他の任意のデータを入力フィールドやデータフィールドを通して送信し、アプリケーションやシステムが通常の処理やクエリの一部としてコードを実行するように仕向ける攻撃です。
クロスサイトリクエストフォージェリとは、攻撃者が認証済みのユーザーに対し、自身のアクセス権限と認証情報で実行されているアプリケーションに偽造されたリクエストを送信させるように仕向ける攻撃のことです。

クラウドデータライフサイクルの「保存」フェーズは、通常、
「作成」フェーズ、またはその直後が、セキュリティ制御を実装できる最初のフェーズです。ほとんどの場合、データの保存方法は、その分類に基づいて決定されます。

クロスサイトリクエストフォージェリ（CSRF）攻撃は、ユーザーがアプリケーションへの認証に使用したクライアントに、ユーザー自身の認証情報を使用して偽造されたリクエストを送信させ、アプリケーションが信頼できるクライアントとユーザーからのものだと認識するコマンドとリクエストを実行させます。この種の攻撃は、攻撃者がコマンドの結果を確認する方法がないため、データを直接盗むために使用することはできませんが、アプリケーションを侵害する他の方法を開く可能性があります。機能レベルのアクセス制御が欠落しているアプリケーションでは、最初のログインプロセス中にのみ認証を確認し、各関数呼び出しでさらに検証を行いません。
クロスサイトスクリプティングとは、攻撃者が検証プロセスを経ずに信頼できないデータをユーザーのブラウザに送信できる場合に発生する攻撃です。インジェクション攻撃とは、悪意のある攻撃者が、アプリケーションやシステムが通常の処理やクエリの一部としてコードを実行することを目的として、入力フィールドやデータフィールドを通じてコマンドやその他の任意のデータを送信する攻撃です。