説明/参照:
Explanation:
クリティカルの分類では、最大許容ダウンタイム (MTD) が数分から数時間 (2 時間など) になります。
誤った回答:
A: 「重要」に分類された場合、MTD は約 72 時間になります。
B: 緊急と分類された場合、MTD は約 24 時間になります。
D: 重要という MTD 分類はありません。分類は、非必須 (30 日)、通常 (7 日)、重要 (72 時間)、緊急 (24 時間)、および重大/必須 (数分から数時間) です。
参考文献:
http://docplayer.net/1184175-Cissp-common-body-of-knowledge-business-continuity-disaster-recovery- planning-domain-version-5-9-2.html

説明/参照:
Explanation:
競合状態は、2 つの異なるプロセスが同じリソース上でタスクを実行する必要がある場合に発生します。
誤った回答:
A: スニッフィングまたは盗聴には、ネットワーク メディアを通過するすべてのフレームのキャプチャと記録が含まれます。
B: トラフィック分析は、ネットワーク上のトラフィック パターンを監視して情報を発見するために使用されます。
C: マスカレードは、別のユーザーになりすましてシステムに不正アクセスすることによって行われます。参照:
ハリス、ショーン、『オールインワン CISSP 試験ガイド』、第 6 版、McGraw-Hill、2013 年、410、411、1060、1294 ページ ミラー、デビッド R、『CISSP トレーニング キット』、O'Reilly Media、2013 年、セバストポル、508 ページ

コード レビューは、ソフトウェア システムにおける適切なセキュリティ プログラミング プラクティスをチェックし、バックドアの可能性を監査するのに最適な方法です。コード レビューでは、ソフトウェアのソース コードを調べて、システムのセキュリティや機能を危険にさらす可能性のあるエラー、脆弱性、または悪意のあるコードがないかどうかを確認します。
コード レビューは、人間のレビュー担当者が手動で行うことも、コードをスキャンして分析するツールによって自動的に行うこともできます。その他のオプションは、ソース コードを直接検査しない (A および C) か、構文エラーまたは意味エラーのみを検出し、論理的またはセキュリティ上の欠陥を検出しない (D) ため、コード レビューほど効果的ではありません。参考資料: CISSP オールインワン試験ガイド、第 8 版、第 8 章、463 ページ、公式 (ISC)2 CISSP CBK リファレンス、第 5 版、第 8 章、555 ページ。

中間者 (MITM) 攻撃による保護対象医療情報 (PHI) データの漏洩リスクを軽減するために情報システム セキュリティ担当者 (ISSO) が選択すべき対策は匿名化です。
MITM 露出は、攻撃者がクライアントとサーバーなどの 2 者間の通信を、当事者に知らせることなく、または当事者の同意なしに傍受、変更、または中継するタイプのネットワーク攻撃です。MITM 露出は、データとネットワークの機密性、整合性、可用性を危険にさらす可能性があり、データの盗難、詐欺、または妨害行為につながる可能性があります。PHI データ漏洩は、患者または医療提供者の医療記録、診断、治療、または保険の詳細などの機密情報と個人情報が、ハッカー、競合他社、またはメディアなどの権限のない当事者に公開または開示されるタイプのデータ侵害です。PHI データ漏洩は、データと個人のプライバシーとセキュリティを侵害する可能性があり、法的または規制上の罰則、評判の失墜、または経済的損失につながる可能性があります。匿名化は、名前、住所、または社会保障番号などの識別情報または個人情報をデータから削除またはマスクし、仮名、コード、またはランダムな値に置き換える手法です。匿名化により、データが個人を追跡およびリンクできなくなり、権限のない第三者によるデータへのアクセスや不正使用から保護されるため、MITM 露出による PHI データ漏洩のリスクを防止または軽減できます。監査、プライバシー監視、およびデータ保持は、データの露出や開示を防止または軽減するのに効果的ではないか関連性がないか、データ保護以外の目的や機能を持つ可能性があるため、MITM 露出による PHI データ漏洩のリスクを軽減するために ISSO が選択すべき対策ではありません。
参考文献:
* MITM露出
* PHIデータ漏洩
* 匿名化

答えは「人」です。他の選択肢は強化され、頼りにすることができます
(ほとんどの場合) 適切に保護されていれば一貫性が保たれます。人は間違いを犯しやすく、予測不可能です。セキュリティ侵入のほとんどは従業員によって引き起こされます。人は疲れ、不注意になり、貪欲になります。彼らは常に信頼できるわけではなく、定義されたガイドラインやベスト プラクティスに従わない場合があります。セキュリティ専門家は、適切な防止および検出制御をインストールし、すべてのシステム ユーザーを適切にトレーニングする必要があります。適切な雇用および解雇の慣行により、特定のリスクを排除できます。セキュリティ意識トレーニングは、人々がリスクと責任を認識するための鍵となります。
次の回答は不正解です:ソフトウェア。ソフトウェアの脆弱性は大きな脅威であり、懸念材料ですが、セキュリティ体制の最も弱い点は人です。ソフトウェアは削除、アップグレード、またはパッチを適用することでリスクを軽減できます。
通信。組織の内外からの攻撃の多くは、ネットワーク インフラストラクチャなどの通信手段を使用しますが、これがセキュリティ体制の最も弱い点というわけではありません。通信を監視したり、デバイスをインストールまたはアップグレードしたりすることで、リスクを軽減し、攻撃の試みに対処することができます。
ハードウェア。ハードウェア コンポーネントはセキュリティ体制の弱点となる可能性がありますが、提供されている選択肢の中で最も弱い部分ではありません。ハードウェアへのアクセスは、ロックの設置や特定のエリアの出入りの監視などの対策によって最小限に抑えることができます。
この質問を作成するために、次の参考資料が使用されました:
ショーン・ハリス AIO v.3 P.19、107-109
ISC2 OIG 2007、p.51-55