可用性とは、エンティティのシステムで使用される情報、および顧客に提供される製品やサービスへのアクセス可能性を指します。可用性の目標自体は、許容可能な最小のパフォーマンスレベルを設定するものではありません。システム機能（システムが実行する特定の機能）またはユーザビリティ（特定のタスクまたは問題のパフォーマンスにシステム機能を適用するユーザーの能力）には対応していません。ただし、運用、監視、および保守のためのアクセシビリティをサポートするための制御がシステムに含まれているかどうかについては取り上げています。

説明/参照：
Explanation:
情報資産の「価値」は、情報資産を分類するために使用する必要があります。
さまざまな種類のデータに値を割り当てる理由は、すべてのデータが企業にとって同じ価値を持つわけではないため、企業が各種類のデータを保護するために必要な資金とリソースの量を測定できるようにすることです。すべての重要な情報を特定した後、それを適切に分類する必要があります。会社には、作成および維持される多くの情報があります。データを分類する理由は、データの損失、開示、または入手不能に対する感度に応じてデータを整理するためです。データが機密レベルに従ってセグメント化されると、企業はさまざまな種類のデータを保護するために必要なセキュリティ制御を決定できます。これにより、情報資産が適切なレベルの保護を受けることが保証され、分類によってそのセキュリティ保護の優先順位が示されます。
不正解：
B：情報資産の年齢は、情報資産の分類を決定する際に考慮すべき最良の基準ではありません。
C：情報資産の耐用年数は、情報資産の分類を決定する際に考慮すべき最良の基準ではありません。
D：情報資産の個人的な関連付けは、情報資産の分類を決定する際に考慮すべき最良の基準ではありません。
参照：
Harris、Shon、All In One CISSP Exam Guide、6th Edition、McGraw-Hill、New York、2013、p。109

ハニーポットの主な目的は、攻撃者の攻撃方法を理解し、防御を強化する目的で、攻撃者の攻撃方法を研究することです。
「ハッカーを誘惑して未使用のシステムを攻撃させる」は正しくありません。ハニーポットはおとりとして機能することができますが、その主な目的は攻撃者の行動を研究することです。
「可能性のあるハッカーを捕らえて追跡する」は正しくありません。誘惑と罠には多くの法的な問題がありますが、一般的には罠は禁止されており、攻撃者を「罠にかける」と見なされる可能性のあるシナリオで収集された証拠は法廷で許容されません。
「ネットワーク上に犠牲の子羊を設置すること」は正しくありません。ハニーポットは一種の犠牲的な子羊であり、実動システムに対して向けられた可能性のある攻撃を引き付ける可能性がありますが、その本当の目的は、ネットワーク防御をよりよく理解して改善することを目的として、攻撃者の方法を研究することです。
参照：
AIO3、p。213

TCSECは機密性に重点を置き、ITSECは次のように整合性と可用性を追加しました。
セキュリティの目標。
次の答えは正しくありません。
完全性と機密性。TCSECが機密性に対処したため、正しくありません。
機密性と可用性。TCSECが機密性に対処したため、正しくありません。
上記のどれでもない。ITSECがセキュリティ目標として整合性と可用性を追加したため、正しくありません。

効果的にするには、パッチ管理プログラムを実施する必要があり（デューデリジェンス）、詳細な手順で、パッチを適切に適用する方法と時期を指定します（デューケア）。デューデリジェンスの違反ではないという質問をしたことを忘れないでください。この場合、パッチの適用はデューデリジェンスを示し、パッチ管理プロセスは適切なデューデリジェンスを示します。
デューデリジェンスとは、会社が直面するリスクを調査して理解する行為です。企業は、セキュリティポリシー、手順、および標準を開発および実装することによって実践しています。リスクの検出は、ISO 2700、ベストプラクティスなどの標準、およびNIST標準などの他の公開された標準に基づいています。
デューデリジェンスは、現在の脅威とリスクを理解しています。デューデリジェンスは、リスクが絶えず評価およびレビューされている場合に、保護メカニズムが継続的に維持され、運用可能であることを確認する活動によって実施されます。セキュリティポリシーが古くなっていることは、デューデリジェンスの概念に違反している例です。
Due Careは、これらの脅威からの保護を提供するための対策を実施しています。十分な注意を払うのは、特定された可能性のあるリスクから会社とそのリソースを保護するために必要な手順です。情報所有者がデータ保護の基盤を構築せず（それについて何かをする）、指示が実施されていることを確認しない場合（実際に行われ、許容可能なレベルに保たれている）、これは適切なケアの概念に違反します。
会社がその資産のセキュリティに関して十分な注意とデューデリジェンスを実施しない場合、その会社は法的に過失で起訴され、その過失の影響について責任を問われる可能性があります。責任は通常、デューデリジェンスとデューケアまたはどちらかの欠如に基づいて確立されます。
これを覚えておくための良い方法は、デューデリジェンス内の両方の単語の最初の文字を使用することです
（DD）およびDue Care（DC）。
デューデリジェンス=デューディテクト
ベストプラクティスと基準に基づいてリスクを特定するために実行する手順。
デューケア=デューコレクト。
リスクレベルを許容レベルまで下げ、そのレベルを長期にわたって維持するために実行するアクション。
次の答えは間違っていました：
セキュリティポリシーが古くなっています：
セキュリティポリシーを設定して適用することは正しいことですが（デューデリジェンス）、セキュリティポリシーが古くなっている場合は、正しい方法で実行していません（デューデリジェンス）。この質問は、デューデリジェンスに違反し、十分な注意には違反しません。
データ保護の基盤を構築していないデータ所有者：
データ所有者は、「正しいこと」を認識していません。彼らはセキュリティポリシーを持っていません。
ネットワーク管理者は必須の2週間の休暇を取っていません：
2週間の休暇は「正しいこと」ですが、休暇を取らないことはデューデリジェンスに違反します（正しいことを正しい方法で行わないこと）
この質問に使用される参照：
ション・ハリス、CISSPオールインワン、バージョン5、第3章、110ページ