セクション: 混合質問

組織は、サードパーティの物理的セキュリティ制御が実施され、機密情報へのアクセスを制限できるようにする必要があります。物理的セキュリティ制御とは、ハードウェア、ソフトウェア、メディア、人員などの物理的資産を、不正または悪意のあるアクセス、損傷、盗難から保護する手段またはメカニズムです。物理的セキュリティ制御には、ロック、フェンス、ガード、カメラ、アラーム、生体認証などがあります。組織は、サードパーティの物理的セキュリティ制御が機密情報へのアクセスを制限できるようにする必要があります。これにより、データ侵害、データ損失、データ破損のリスクを防止または軽減し、情報の機密性、整合性、可用性を確保できます。組織はまた、サードパーティの物理的セキュリティ制御が組織のポリシー、標準、規制に準拠していること、および定期的に監査および監視されていることも確認する必要があります。組織は、サードパーティの物理的セキュリティ管理が元の管理よりも厳格であること、組織のスタッフがいつでもアクセスできること、またはサードパーティの下請け業者がアクセスできないことを保証すべきではありません。これらは、物理的セキュリティ管理のレベル、範囲、または制限に関係するものであり、機密情報へのアクセスを制限する機能に関係するものではありません。参考資料: CISSP オールインワン試験ガイド、第 8 版、第 7 章「セキュリティ運用」、849 ページ。公式 (ISC)2 CISSP CBK リファレンス、第 5 版、第 7 章「セキュリティ運用」、865 ページ。

災害による停止コストの判断は、直接コストと間接コストの両方を含む停止の全体的な長期的影響によって最もよく測定できます。直接コストは、修理、交換、復旧、移転のコストなど、通常の業務を回復するために発生する費用です。間接コストは、収益、生産性、評判、顧客ロイヤルティ、市場シェア、競争上の優位性の喪失など、ビジネス活動の中断によって生じる損失または損害です。停止の全体的な長期的影響は、ビジネス影響分析 (BIA)、投資収益率 (ROI)、総所有コスト (TCO) などの方法を使用して見積もることができます。冗長システムとバックアップのコスト、停止からの回復コスト、停止中に失われた収益はすべて直接コストの例ですが、災害による停止コストのすべてを表しているわけではありません。

階層型ストレージ管理 (HSM) は、WORM と同様に、光学式またはテープ「ジュークボックス」を使用して継続的なオンライン バックアップを提供します。
出典: KRUTZ, Ronald L. & VINES, Russel D., The CISSP Prep Guide: Mastering the Ten Domains of Computer Security, 2001, John Wiley & Sons, 71 ページ。