PDCA (計画・実行・確認・改善) モデルは、ビジネス継続性管理 (BCM) システムなどの管理システムを実装、維持、改善するための 4 段階の反復プロセスです。PDCA モデルは次のフェーズで構成されます。
* 計画: BCM システムの目的、範囲、要件を確立し、事業継続ポリシー、戦略、計画、手順を策定します。
* 実行: ビジネス継続性ポリシー、制御、プロセス、および手順を実装し、必要なトレーニング、認識、およびテスト活動を実施します。
* 確認: ビジネス継続性ポリシーと目標に対する BCM システムのパフォーマンスと有効性を監視およびレビューし、その結果と調査結果を経営陣に報告してレビューを受けます。
* 実行: マネジメントレビューの結果とステークホルダーからのフィードバックに基づいて、是正措置と予防措置を講じることで、BCM システムを維持および改善します。PDCA モデルの「実行」フェーズでは、主な活動は、前のフェーズで計画されたとおりに、ビジネス継続ポリシー、コントロール、プロセス、および手順が実施されていることを確認することです。これには、必要なリソース、役割、責任を割り当て、ビジネス継続戦略に従ってビジネス継続計画と手順を実行することが含まれます。これには、スタッフと関係者に適切なトレーニングと意識向上プログラムを提供し、ビジネス継続計画と手順の定期的なテストと演習を実施して、その機能性と適合性を検証することも含まれます。参考文献: CISSP オールインワン試験ガイド、第 8 版、第 8 章:
セキュリティ オペレーション、557 ページ。公式 (ISC)² CISSP CBK リファレンス、第 5 版、ドメイン 7:
セキュリティオペレーション、921 ページ。

トピック5、運用セキュリティ

アプリケーション インターフェイス テストを実行する際の最も重要なセキュリティ目標は、外部インターフェイスに関連するエラー状態を調べて、アプリケーションの詳細の漏洩を防ぐことです。アプリケーション インターフェイス テストは、API、Web サービス、プロトコルなどのインターフェイスを介したさまざまなシステムまたはコンポーネント間のやり取りに焦点を当てたテストの一種です。外部インターフェイスに関連するエラー状態は、入力、出力、または通信が無効、不完全、または予期しないときに発生する可能性があります。これらのエラー状態により、アプリケーションはエラー メッセージ、スタック トレース、構成ファイル、データベース クエリなどの機密情報や秘密情報を公開する可能性があります。攻撃者はこれを悪用してシステムにアクセスしたり、システムを侵害したりする可能性があります。
したがって、これらのエラー状態を調べ、アプリケーションがそれらを適切かつ安全に処理することを確認することが重要です。すべてのプラットフォームがサポートされ、適切に機能していることを確認すること、システムまたはコンポーネントがデータと制御を相互に正しく渡すかどうかを評価すること、ソフトウェア、ハードウェア、およびネットワーク接続の互換性を確認することは、セキュリティ目標ではなく、アプリケーション インターフェイス テストの機能目標またはパフォーマンス目標です。参考文献: CISSP オールインワン試験ガイド、第 8 版、第 8 章: ソフトウェア開発セキュリティ、1000 ページ、CISSP CBK の公式 (ISC)2 ガイド、第 5 版、第 7 章:
ソフトウェア開発セキュリティ、922 ページ。