パスワードは、常に安全ではない、インフラストラクチャを危険にさらす必要悪であると言及されているにもかかわらず、依然として広く使用されており、おそらく今後数年間は使用されるでしょう。適切なパスワードは、優れた第一防衛線となります。パスワードは、ユーザーが知っている情報に基づいています。パスワードは、ユーザーが特定のリソースにアクセスする前にユーザーを認証するために使用されます。

ARP は、特定の IP アドレスを持つネットワーク ノードを探すブロードキャストを送信してネットワークを調べ、ハードウェア アドレスで応答するように要求します。ブロードキャスト メッセージは、メッセージが要求されたかどうかに関係なく、すべての人に送信されます。従来のユニキャストは、「1 対 1」または「ナローキャスト」メッセージです。マルチキャストは、「1 対多」メッセージであり、従来は情報を要求したマシンにのみ送信されます。セミキャストは偽の応答です。出典: KRUTZ, Ronald L. & VINES, Russel D., The CISSP Prep Guide: Mastering the Ten Domains of Computer Security, 2001, John Wiley & Sons, 87 ページ。

緊急時対応計画担当者は、次のような多くの役割と責任を担っています。
事業継続、災害復旧、緊急事態の計画
経営、事業再開プロセスなど、
これらの役割と責任のいくつかに正解する
含まれるもの:
経営幹部のコンプライアンス確保
緊急時対応計画プログラム
定期的な管理レポートとステータスの提供
緊急時の対応の調整と統合
対応組織
回答「イベント後に従業員にストレス軽減プログラムを提供する」イベント後に従業員にストレス軽減プログラムを提供することは、人事部門の責任です。出典：Contingency
計画と管理、コンティンジェンシープランニング101、
ケリー・ゴギンズ、1999年3月。

オブジェクト再利用メカニズムは、機密情報の漏洩を防ぐ方法でシステム リソースが承認されたユーザー間で割り当てられ、再割り当てされることを保証し、システムの承認されたユーザーがシステム リソースから残留情報を取得できないようにします。オブジェクト再利用は、1 つ以上のオブジェクトを含むストレージ メディア (ページ フレーム、ディスク セクター、磁気テープなど) を何らかのサブジェクトに再割り当てすることと定義されます。安全に再割り当てするには、標準のシステム メカニズムを通じて新しいサブジェクトが残留データにアクセスできないようにする必要があります。7 TCSEC のオブジェクト再利用要件は、システム リソース (特にストレージ メディア) が機密情報の漏洩を防ぐ方法でシステム ユーザー間で割り当てられ、再割り当てされることを保証することを目的としています。回答 a は不正解です。オブジェクト再利用は、ストレージ メディアに対する物理的な攻撃から必ずしも保護するものではありません。回答 c も不正解です。オブジェクト再利用は、リムーバブル メディア、固定メディア、実メイン メモリと仮想メイン メモリ (レジスタを含む)、キャッシュ メモリなど、すべてのプライマリ ストレージ メディアとセカンダリ ストレージ メディアに適用されます。回答 d は、ユーザー、プログラム、またはプロセスへのアクセス権の付与である承認を指します。出典: NCSC-TG-018、信頼できるシステムにおけるオブジェクトの再利用を理解するためのガイド [ライトブルーブック]。

ソフトウェア セキュリティの機能要件は、ソフトウェア開発ライフサイクル (SDLC) でビジネス機能分析とデータ セキュリティの分類を実行した後に定義する必要があります。SDLC は、ウォーターフォール、スパイラル、アジャイル、DevSecOps などのさまざまなモデルと方法論を使用して、システムの計画、設計、開発、テスト、展開、運用、保守を行うプロセスです。SDLC は、次のような独自の目的とアクティビティを持つ複数のフェーズに分けることができます。
* システムの開始: このフェーズでは、システムの範囲、目的、目標の定義、関係者とそのニーズや期待の特定、プロジェクト計画と予算の確立が行われます。
* システムの取得と開発: このフェーズでは、システムのアーキテクチャとコンポーネントの設計、ハードウェアおよびソフトウェア リソースの選択と調達、システムの機能と特徴の開発とコーディング、システム モジュールとインターフェイスの統合とテストが行​​われます。
* システムの実装: このフェーズでは、システムを本番環境に展開してインストールし、レガシー システムからデータとアプリケーションを移行して変換し、システムの操作と保守に関するユーザーとスタッフのトレーニングと教育を行い、システムのパフォーマンスと有効性を評価して検証します。
* システムの運用と保守: このフェーズでは、システムの機能と可用性の運用と監視、システムのハードウェアとソフトウェアの保守と更新、問題の解決とトラブルシューティング、システムの機能と性能の強化と最適化が行われます。
ソフトウェア セキュリティ機能要件は、セキュリティ目標と要件を満たすためにシステムが提供しなければならない、具体的で測定可能なセキュリティ機能です。ソフトウェア セキュリティ機能要件は、ビジネス機能分析とデータ セキュリティ分類から派生します。これらは、SDLC のシステム開始フェーズで実行される 2 つのタスクです。ビジネス機能分析は、入力、出力、ワークフロー、タスクなど、システムがサポートして有効にする必要があるビジネス機能とプロセスを識別して文書化するプロセスです。データ セキュリティ分類は、機密性、整合性、可用性の基準に基づいてシステムとそのデータのセキュリティ レベルと影響を決定し、適切なセキュリティ制御と対策を適用するプロセスです。ソフトウェア セキュリティ機能要件は、ビジネス機能分析とデータ セキュリティ分類の実行後に定義する必要があります。これにより、システムの設計と開発がセキュリティ目標と要件と一致して準拠していること、およびシステム セキュリティがビジネス機能とプロセスと整合して統合されていることが保証されるためです。
その他のオプションは、ソフトウェア セキュリティの機能要件を定義する必要がある SDLC のフェーズではなく、システムの設計と開発に関連する他のタスクまたはアクティビティを伴うフェーズです。
システムの予備設計が開発され、データ セキュリティ分類が実行された後は、ソフトウェア セキュリティ機能要件を定義するフェーズではなく、システムの範囲と目的に基づいてシステム アーキテクチャとコンポーネントを設計し、データ セキュリティ分類を検証および検証するフェーズです。脆弱性分析が実行された後、システムの詳細設計が開始される前は、ソフトウェア セキュリティ機能要件を定義するフェーズではなく、セキュリティの有効性とコンプライアンスについてシステム設計とコンポーネントを評価およびテストし、システム アーキテクチャとコンポーネントに基づいてシステムの詳細設計を開発するフェーズです。システムの予備設計が開発され、データ セキュリティ分類が開始される前は、ソフトウェア セキュリティ機能要件を定義するフェーズではなく、システムの範囲と目的に基づいてシステム アーキテクチャとコンポーネントを設計し、データ セキュリティ分類を開始および計画するフェーズです。