シンプル セキュリティ プロパティでは、特定の許可を持つ対象は、より高い分類のオブジェクトを読み取ることができないと規定されているため、分類されていない APFEL は FIGCO の極秘貨物情報を読み取ることができませんでした。
ポリインスタンス化により、データベースは分類を除いて同一の2つのレコードを持つことができます（つまり、主キーに分類が含まれます）。したがって、APFELの新しい非分類
記録は実際の極秘記録と衝突しなかったため、APFELはFIGについて知ることはできなかった。
パイナップル。
次の回答は間違っています。
*-プロパティとポリモーフィズム
*プロパティは、特定のクリアランスを持つ主体は、より低いクリアランスを持つオブジェクトに書き込むことができないことを示しています。
分類はここでは関係ありません。APFELはより高い分類でデータを読み取ろうとしていたからです。
分類。
ポリモーフィズムとは、コードを変更できるウイルスなどを指す用語である。
ウイルス対策プログラムからよりよく隠すため、またはオブジェクト指向の異なるタイプのオブジェクトから
共通のスーパークラスによって関連付けられており、したがって共通のセットに応答できるプログラム
さまざまな方法で方法があります。これもこの質問とは無関係です。
強い*-プロパティと多重インスタンス化
半分正解。強い*プロパティは、特定のクリアランスのサブジェクトが、
一致する分類。APFELが非分類記録を挿入しようとしたことは、これと一致していた。
プロパティですが、これは APFEL が極秘情報を読み取ることを防ぐこととは何の関係もありません。
シンプルなセキュリティプロパティとポリモーフィズム
これも半分正しいです。ポリモーフィズムが間違っている理由については上記を参照してください。
この質問を作成するために、以下の参考資料が使用されました:
ハリス、ショーン、CISSP オールインワン試験ガイド、第 3 版、McGraw-Hill/Osborne、2005 年
第5章: セキュリティモデルとアーキテクチャ (280 ページ)
第11章: アプリケーションとシステム開発 (828ページ)

これは正解です。物理的な力を使用するためだけにガードがあるわけではありません。セキュリティ ポリシーが適切に設定されている場合は、ガードの本来の機能は物理的な力ではありません。ガードは、制御デバイスを操作し、不正アクセスを検出するためだけにあるのではありません。CISSP ドキュメントに記載されているように、セキュリティ プログラム内のガードの適切な機能は、識別力のある判断力を使用することです。

説明/参照:
Explanation:
セキュリティ プログラムではトップダウン アプローチを使用する必要があります。つまり、開始、サポート、指示は上級管理職から行われ、中間管理職を経てスタッフ メンバーに伝わります。
対照的に、ボトムアップ アプローチとは、スタッフ メンバー (通常は IT) が適切な管理サポートと指示を受けずにセキュリティ プログラムを開発しようとする状況を指します。ボトムアップ アプローチは一般に効果が低く、すべてのセキュリティ リスクに対応できるほど広範囲ではなく、失敗する運命にあります。トップダウン アプローチでは、会社の資産を保護する実際の責任者 (上級管理職) がプログラムを推進します。上級管理職は、組織の保護の最終的な責任を負うだけでなく、必要な資金の財布の紐を握り、必要なリソースを割り当てる権限を持ち、規定されたセキュリティ ルールとポリシーの真の施行を保証できる唯一の人物です。
誤った回答:
A: デルファイ法は、グループの各メンバーが会社のリスクに関して正直かつ匿名の意見を述べるようにするために使用されるグループ意思決定方法です。
C: ボトムアップ アプローチはトップダウン アプローチの反対です。ボトムアップ アプローチとは、スタッフ メンバー (通常は IT 部門) が適切な管理サポートや指示を受けずにセキュリティ プログラムを開発しようとする状況を指します。
D: テクノロジーアプローチは、定義されたセキュリティプログラムアプローチではありません。
参考文献:
ハリス、ショーン、「オールインワン CISSP 試験ガイド」、第 6 版、McGraw-Hill、ニューヨーク、2013 年、63 ページ

資産のセキュリティと適切な保持に関して、最初に重点を置くべき上位 3 つの領域は、セキュリティ制御のベースライン、アクセス制御、従業員の意識向上とトレーニングです。資産のセキュリティと適切な保持とは、データ、システム、デバイス、施設などの組織の資産を識別、分類、保護、および処分するプロセスです。資産のセキュリティと適切な保持は、資産の紛失、盗難、損傷、または不正使用を防止または軽減するとともに、法律や規制の要件に準拠するのに役立ちます。資産のセキュリティと適切な保持の実現に役立つ最初の上位 3 つの領域は次のとおりです。
* セキュリティ制御ベースライン: 資産の分類、価値、リスク レベルに基づいて資産に適用されるセキュリティ制御または対策の最小セットです。セキュリティ制御ベースラインは、資産のセキュリティ保護の一貫性、有効性、効率性を確保し、セキュリティ コンプライアンスの監視と監査を容易にするのに役立ちます。セキュリティ制御ベースラインには、暗号化、認証、ポリシー、手順、ロック、アラームなどの技術的、管理的、または物理的な制御を含めることができます34
* アクセス制御: 資産にアクセス、使用、変更、削除できる人物や物を制御するメカニズムです。アクセス制御は、資産への不正アクセスや悪意のあるアクセスを防止または制限するだけでなく、最小権限の原則と職務の分離を実施するのに役立ちます。アクセス制御には、識別、認証、承認、説明責任 (IAAA) プロセス、および任意、必須、またはロールベースのアクセス制御などのアクセス制御モデルが含まれます56
* 従業員の意識向上とトレーニング: 組織のセキュリティ ポリシー、手順、ベスト プラクティス、および資産のセキュリティと適切な保持に関する従業員の役割と責任について従業員を教育し、知らせる活動です。従業員の意識向上とトレーニングは、セキュリティに対する従業員の知識、スキル、姿勢を向上させるとともに、資産のセキュリティと適切な保持を損なう可能性のある人為的エラー、過失、違反を減らすのに役立ちます。従業員の意識向上とトレーニングには、セミナー、ワークショップ、ニュースレター、ポスター、クイズなどが含まれます。
参考資料: CISSP オールインワン試験ガイド、第 8 版、第 2 章: 資産セキュリティ、61 ～ 62 ページ、公式 (ISC)2 CISSP CBK リファレンス、第 5 版、ドメイン 2: 資産セキュリティ、163 ～ 164 ページ。

意図した受信者へのトランザクションの整合性を保証する最良のオプションは、公開鍵インフラストラクチャ (PKI) です。PKI は、システム間またはエンティティ間の通信とトランザクションのセキュリティ保護に使用されるデジタル証明書と公開鍵の作成、管理、配布、使用、保存、および取り消しを行うためのサービスとメカニズムを提供するシステムです。PKI は、次の機能により、意図した受信者へのトランザクションの整合性を保証します。
* デジタル証明書と公開鍵を使用して、トランザクションに関係するシステムまたはエンティティの ID と有効性を検証および認証し、トランザクションのなりすまし、スプーフィング、または否認を防止します。
* 公開鍵と秘密鍵を使用して、トランザクションで交換されるデータまたは情報を暗号化および復号化し、トランザクションの傍受、変更、盗聴を防止します。
* デジタル署名と公開鍵を使用して、トランザクションで交換されるデータまたは情報に署名して検証し、トランザクションが変更されたり、破損したり、改ざんされたりしないことを確認します。
その他のオプションは、意図した受信者へのトランザクションの整合性を保証する最適なオプションではありません。
ブロックチェーン技術は、分散型で非中央集権的な台帳またはデータベースを提供するシステムであり、ネットワークの参加者またはノードによって共有され合意されたトランザクションまたはイベントを、暗号化ハッシュとコンセンサスメカニズムを使用して記録および検証します。ブロックチェーン技術は、意図された受信者に対するトランザクションの整合性を確保できますが、PKI と同じレベルの検証、認証、暗号化、復号化、署名、検証を提供できない可能性があり、システムの拡張性、パフォーマンス、相互運用性などの制限や課題があるため、最適なオプションではありません。事前共有キー (PSK) は、通信またはトランザクションに関与するシステムまたはエンティティによって共有または合意され、通信またはトランザクションのセキュリティ保護に使用される対称暗号化または復号化キーを提供するシステムです。 PSK は、意図した受信者へのトランザクションの整合性を保証できますが、PKI と同じレベルの検証、認証、暗号化、復号化、署名、検証を提供できない可能性があり、キーの配布、キーの管理、システムのキーの侵害などのリスクや欠点がある可能性があるため、最適なオプションではありません。
信頼のウェブは、分散型で分散された信頼モデルを提供するシステムであり、他のユーザーやエンティティの承認や評価を使用して、通信やトランザクションのセキュリティ保護に使用されるデジタル証明書と公開キーの作成、検証、交換をユーザーやエンティティが行うことに依存します。信頼のウェブは、意図した受信者へのトランザクションの整合性を確保できますが、PKI と同じレベルの検証、認証、暗号化、復号化、署名、検証を提供できない可能性があり、システムの品質、信頼性、一貫性などの問題が発生する可能性があるため、最適なオプションではありません。参考資料: CISSP オールインワン試験ガイド、第 8 版、第 5 章:
通信とネットワーク セキュリティ、633 ページ。公式 (ISC)2 CISSP CBK リファレンス、第 5 版、第 5 章: 通信とネットワーク セキュリティ、634 ページ。