説明/参照：
Explanation:
Software Capability Maturity Model（CMM）は、ソフトウェア製品の品質が、関連するソフトウェア開発および保守プロセスの品質の直接的な関数であるという前提に基づいています。継続的なプロセス改善を実施するための基盤として、またソフトウェアプロセスに関与する組織の成熟度を測定するための順序尺度として機能する5つの成熟度レベルを紹介します。
CMMには、ソフトウェアプロセスの5つの成熟度レベルがあります。
初期レベル：プロセスはまとまりがなく、混沌としている。成功は個人に依存する可能性があります

プロセスは十分に定義および文書化されていないため、複製できるとは見なされません。
反復可能または管理されたレベル：基本的なプロジェクト管理手法が確立され、

必要なプロセスが確立され、定義され、文書化されているため、成功を繰り返すことができます。
定義されたレベル：組織は、より優れた方法で独自の標準ソフトウェアプロセスを開発しました

ドキュメント、標準化、および統合への注意。
定量的に管理されるレベル：組織は、データを通じて独自のプロセスを監視および制御します

収集と分析。
最適化されたレベル：プロセスは、からのフィードバックを監視することで常に改善されています

現在のプロセスと、組織の特定のニーズにより適切に対応するための革新的なプロセスの導入。
不正解：
A：総合品質管理（TQM）は、すべてのメンバーの参加に基づいて、顧客満足を通じて長期的な成功を目指す、品質を中心とした組織の管理アプローチです。
B：負荷の統合設計、評価、および評価（IDEAL）モデルは、雨水に関する最良の管理手法を設計するための建設後の水質モデルです。ソフトウェア開発モデルではありません。
D：スパイラルモデルは、リスク分析に重点を置いたソフトウェア開発への反復アプローチを使用しています。反復的なアプローチにより、新しい要件が明らかになったときに対処することができます。これは、流動的な要件がある複雑なプロジェクトに適したモデルです。
スパイラルモデルには、次の4つの主要なフェーズがあります。
計画

リスク分析：すべての問題が積極的にレビューおよび分析されるようにします。

開発とテスト：プロトタイプテストは開発プロジェクトの早い段階で行われ、フィードバックがあります

これらのテストに基づいて、次のステップの反復に統合されます。
評価：顧客は現在の状態で製品を評価し、フィードバックを提供します。これは

次のステップの反復の入力値。
参照：
Harris、Shon、All In One CISSP Exam Guide、6th Edition、McGraw-Hill、New York、2013、pp。62、1115-
1116、1120-1122
http://en.wikipedia.org/wiki/Capability_Maturity_Model
https://en.wikipedia.org/wiki/Total_quality_management
https://en.wikipedia.org/wiki/IDEAL_model

説明/参照：
Explanation:
標準は、適切な構成管理プロセスと承認されたベースライン構成設定の概要を示すために開発されています。システムは、標準に規定されているものに対してテストでき、システムを監視して、標準に概説されている要件を満たさない構成があるかどうかを検出できます。
優れた構成プロセスは、実証済みの標準とベストプラクティスに従います。要件は、明確、簡潔、かつ有効である必要があります。変更、標準、および要件は、迅速かつ正確に伝達する必要があります。
「リソースの変更を防ぐためにシステムハードウェアの変更を制御する」というステートメントは、適切な構成プロセスの重要な要素ではありません。システムハードウェアへの変更は、変更管理手順によって制御する必要があります。
不正解：
A：実績のある標準とベストプラクティスの再利用に対応することは、優れた構成プロセスの重要な要素の1つです。
B：すべての要件が明確、簡潔、有効であり続けることを保証することは、優れた構成プロセスの重要な要素の1つです。
D：変更、標準、および要件が迅速かつ正確に伝達されるようにすることは、優れた構成プロセスの重要な要素の1つです。

トラフィックパディングは、トラフィック分析の対策です。
完全な暗号化ルーチンが使用されている場合でも、攻撃者は生成されたトラフィックの量を知ることができます。攻撃者は、アリスとボブが何について話しているのかを知らないかもしれませんが、彼らが話していることと、彼らがどれだけ話しているかは知ることができます。特定の状況では、これは非常に悪い場合があります。たとえば、軍隊が他国に対する秘密攻撃を組織している場合を考えてみてください。他国に、多くの秘密活動が行われていることを単に知ってもらうように警告するだけで十分かもしれません。
別の例として、可変ビットレートエンコーディングを使用するVoice Over IPストリームを暗号化する場合、単位時間あたりのビット数が不明瞭になることはなく、これを利用して話し言葉を推測することができます。
メッセージのパディングは、トラフィック分析を困難にする方法です。通常、メッセージの最後にいくつかのランダムビットが追加され、最後にこのランダムデータの量が示されます。ランダム性は、最小値が0、最大数がNで、2つの極値の間で均等に分布している必要があります。0を増やしても効果はなく、Nを増やすだけで効果がありますが、実際のデータの送信に使用されるチャネルの割合が低くなることも意味します。また、暗号化ルーチンはクラックできないと想定されているため（そうでない場合、パディングの長さ自体はクラック可能です）、パディングを他の場所、たとえば最初、途中、または散発的に配置することは役に立ちません。他の答えは、侵入テストを行うために使用されるすべての技術です。
参考資料：KRUTZ、Ronald L.＆VINES、Russel D.、CISSP Prep Guide：Mastering the Ten Domains of Computer Security、233、238ページ。およびhttps://secure.wikimedia.org/wikipedia/en/wiki/Padding_ ％28cryptography％29＃Traffic_analysis