説明責任の原則は、多くの参考文献で説明されています。これは、特定のアクションを個人にまでさかのぼることができる原則です。Idrach が述べたように、重要なアクションはすべて特定のユーザーにまでさかのぼることができる必要があります。「重要」の定義は、ビジネス環境とリスク管理モデルに完全に依存します。Rino も、特定のユーザーのアクションを追跡することは問題ありませんが、この特定のユーザーが未開始のアクションに責任があることも確認できなければならないと述べました。

脆弱性評価の検出フェーズは、評価の対象となるホスト、サービス、アプリケーションを識別して列挙するプロセスです。このフェーズでは、ネットワーク スキャン、ポート スキャン、サービス スキャン、バナー グラビングなどの手法が用いられます。対象となったホストの 3 分の 1 がレポートに含まれていない場合は、検出フェーズが適切にまたは完全に実行されず、一部のホストが検出されなかったか、評価に含まれなかったことを意味します。列挙、レポート、検出の各フェーズは、検出フェーズの結果に依存するため、このエラーの原因となる可能性は低いです。参考文献: CISSP オールインワン試験ガイド、第 8 版、第 7 章: セキュリティ評価とテスト、857 ページ、CISSP CBK の公式 (ISC)2 ガイド、第 5 版、第 6 章: セキュリティ評価とテスト、794 ページ。

ソフトウェア開発ライフサイクル（SDLC）（システムライフサイクルとも呼ばれる）
開発ライフサイクルは、ソフトウェアシステムを作成または変更するプロセスであり、モデルは
そして、これらのシステムを開発するために人々が使用する方法論。
NIST SP 800-64 改訂 2 のパラグラフ 3.2.1 の説明セクションには、次の記述があります。
このセクションでは、第2のSDLCフェーズに特有のセキュリティ上の考慮事項について説明します。キーセキュリティ
このフェーズのアクティビティには以下が含まれます。
リスク評価を実施し、その結果を使用してベースライン セキュリティ制御を補完します。
セキュリティ要件を分析します。
機能テストとセキュリティテストを実行します。
システムの認証および認定のための初期文書を準備する。
セキュリティ アーキテクチャを設計します。
この出版物をレビューすると、開発/取得を選択するのがよいでしょう。開始は適切な選択ですが、このフェーズではセキュリティ要件のアイデアをブレインストーミングするだけであると言うのは正しいです。ハードウェア/ソフトウェア コンポーネントの開発と取得を開始したら、これらのセキュリティ制御も開発することになります。以下の Shon Harris の参照も正しいです。
Shon Harris の著書 (オールインワン CISSP 認定試験ガイド) では、SDLC を次のように分類しています。
-プロジェクトの開始
-機能設計分析と計画
-システム設計仕様
-ソフトウェア開発
-インストール
-メンテナンスサポート
-修正と交換
著者 (Shon Harris) によると、セキュリティ要件は機能設計分析および計画フェーズで開発する必要があります。NIST 800-64 からの SDLC の位置付け
SDLC の企業内における位置づけ 情報システム セキュリティのプロセスと活動は、IT システムの管理とその開発に貴重な情報を提供し、リスクの特定、計画、緩和を可能にします。リスク管理のアプローチには、情報システム開発ライフサイクル全体を通じて、機関の情報と資産の保護とセキュリティ管理および緩和戦略のコストとのバランスを継続的に取ることが求められます (上の図 2-1 を参照)。リスク管理を実装する最も効果的な方法は、機関全体の重要な資産と運用、およびシステムの脆弱性を特定することです。リスクは共有され、組織、収益によって制限されることはありません。
重要な資産と運用の特定と検証、およびその
相互接続は、システムセキュリティ計画プロセスを通じて実現できるだけでなく、
資本計画投資管理局（CPIC）からの情報の収集を通じて
およびエンタープライズアーキテクチャ（EA）プロセスを活用して、機関の重要なビジネスに関する洞察を確立する
運用、それをサポートする資産、および既存の相互依存関係と関係。
重要な資産と業務が特定されれば、組織はビジネスを実行できるようになり、また実行すべきである。
影響分析（BIA）。BIAの目的は、システムと資産を重要な影響と関連付けることです。
提供しているサービスを特定し、その混乱がもたらす影響を評価する。
システムでは、優先順位を設定することで機関がセキュリティを効果的に管理できます。これにより、
セキュリティオフィスは、ITプログラムの費用対効果の高いパフォーマンスを促進し、その
代理店に対するビジネスへの影響と価値。
NIST 800-64 からの SDLC の概要
NIST 800-64 改訂 2 版からの SDLC の概要
NIST 800-64 Revision 2は、NIST標準規格の中で私がお勧めする出版物の1つです。
SDLCの詳細についてはこちらをご覧ください。SDLCには、どのような活動が実行されるかについて詳細に説明されています。
ここに、SDLC の各フェーズのわかりやすい図があります。コピーは次の場所にあります:
http://csrc.nist.gov/publications/nistpubs/800-64-Rev2/SP800-64-Revision2.pdf
議論：
フェーズ名に関しては、さまざまな情報源によって若干異なる情報が提示されます。
NIST規格のいくつかについては、時々混乱することがあります。例えば、NIST 800-64
情報システム開発ライフサイクルにおけるセキュリティの考慮事項は、
名前は変わっても、活動内容はほとんど同じままです。
NISTは、セキュリティ要件がすべてのプロセスを通じて考慮されることを明確に規定しています。
フェーズ。ここでのキーワードは、質問がどのフェーズであるかに関するものである場合、考慮されます
機能設計分析よりも開発されたものが正しい選択でしょう。
NIST規格では異なるフェーズが使用されていますが、第2フェーズでは
彼らはセキュリティ機能要件分析について具体的に話しており、それが
開始段階でこの質問に対する答えを出すのが簡単になります。
記載されている内容:
セキュリティ機能要件分析では、システムのセキュリティ環境を考慮します。
企業情報セキュリティポリシーと企業セキュリティアーキテクチャを含みます。
分析では、機密性、完全性、可用性に関するすべての要件に対応する必要があります。
情報、およびすべての法的、機能的、その他のセキュリティ要件のレビューを含める必要があります。
適用される法律、規制、ガイダンスに含まれています。
開始段階では、セキュリティを作成するのに十分な詳細がまだありません。
要件。リストされているすべての問題についてブレインストーミングしていますが、開発はしていません。
その段階では全員です。
情報システム開発ライフサイクル（SDLC）の早い段階でセキュリティを考慮することで、
後々のコスト上昇を回避し、最初からより安全なシステムを開発できるようになります。
NISTは次のように述べています。
NISTの情報技術研究所は最近、特別出版物（SP）800-64を発行した。
情報システム開発ライフサイクルにおけるセキュリティの考慮、ティム・グランス、ジョアン・
ハッシュとマーク・スティーブンスは、組織がセキュリティ要件を計画に組み込むのを支援します。
システムのライフサイクルのあらゆる段階を考慮し、適切かつ費用対効果の高いものを選択し、取得し、使用する。
セキュリティ制御。
これは非常に難しいことだと認めざるを得ませんが、読解力とキーワードに注意を払うことは必須です。
この試験のために。
参考文献:
ハリス、ショーン、オールインワン CISSP 認定試験ガイド、マグロウヒル/オズボーン、第 5 版、
956 ページ
そして
NIST S-64 改訂 2 http://csrc.nist.gov/publications/nistpubs/800-64-Rev2/SP800-64-
改訂2.pdf
そして
http://www.mks.com/resources/resource-pages/software-development-life-cycle-sdlc-system-
発達

チャレンジ ハンドシェイク認証プロトコル (CHAP) は、ログイン セッションごとに新しい乱数が一意に生成される認証プロトコルです。CHAP は、ダイヤルアップや VPN 接続などのポイントツーポイント プロトコル (PPP) 接続を介してユーザーまたはシステムを認証するために使用されます。CHAP は次のように機能します。
サーバーは、乱数を含むチャレンジ メッセージをクライアントに送信します。クライアントは、乱数と独自の秘密鍵に一方向ハッシュ関数を適用して応答を計算し、その応答をサーバーに返します。サーバーは、同じ乱数とデータベースに保存されている秘密鍵を使用して同じ計算を実行し、結果を比較します。一致した場合、認証は成功します。
CHAP は、ユーザー名とパスワードをネットワーク経由でクリア テキストで送信するパスワード認証プロトコル (PAP) よりも高いセキュリティを提供します。参考文献: : CISSP All-in-One Exam Guide、第 8 版、第 5 章、516 ページ。 : CISSP For Dummies、第 7 版、第 5 章、151 ページ。