脆弱性を報告することは非常に重要です。なぜなら、製品オーナー（または関係者）に情報を提供し、リスクを評価し、修正の優先順位を決定し、次のステップ（パッチ適用、緩和策、重大な場合の一時的なシステム停止など）を判断させる必要があるからです。これは、脆弱性が発見された場合、SDLCのどのフェーズにおいても必ず行うべき行動です。

ベースラインとは、何かを測定または比較するための基準点または参照点のことです。システム構成ベースラインとは、オペレーティングシステム、アプリケーション、パッチ、設定など、情報システムのハードウェアおよびソフトウェアコンポーネントに関する仕様を文書化したものです。システム構成ベースラインを使用することで、システムが組織のセキュリティおよびパフォーマンス要件を満たしていることを確認し、システムへの不正または望ましくない変更を検出できます。情報システムの現在のハードウェアおよびソフトウェアが標準システム構成と一致していることを確認するには、構成管理ソフトウェア、チェックサム、ハッシュなどのツールを使用して、システムの実際の構成をベースラインと比較できます。システムが運用開始された後に構成を確認するだけでは不十分です。初期展開後に発生する可能性のある変更が考慮されていないためです。
環境内のすべてのデバイスで脆弱性スキャンツールを実行することは、システム構成をベースラインと比較するのではなく、既知の脆弱性のデータベースと比較するため、具体的ではありません。承認されたすべてのセキュリティパッチが適用されていることを確認することは、アプリケーション、設定など、システム構成の他の側面を網羅していないため、包括的ではありません。参照: システム構成ベースライン、
[CISSPオールインワン試験ガイド第8版、第3章：セキュリティアーキテクチャとエンジニアリング]2

説明
強制アクセス制御 - エンドユーザーは制御を設定できません
裁量アクセス制御 (DAC) - 主体はオブジェクトを完全に制御できます。役割ベースアクセス制御 (RBAC) - 職務に基づいて、特定の職務に役割の権限を動的に割り当てます。ルールベースアクセス制御 - 管理者が割り当てた基準に基づいて、主体に役割を動的に割り当てます。

大規模組織はデータコントローラーであり、CSPはそのデータプロセッサーです。しかし、データプロセッサーはデータの処理方法を決定するわけではありません。データコントローラーである大規模組織が、データの処理方法を制御します。

SYNフラッド攻撃は、新規TCP/IP接続の制限を超過します。SYNフラッド攻撃は、TCPの3ウェイハンドシェイクを完了せずに大量のSYNパケットをサーバーに送信するサービス拒否攻撃の一種です。サーバーは各SYNパケットにリソースを割り当て、最終的なACKパケットを待ちますが、ACKパケットは決して届きません。これによりサーバーのメモリと処理能力が消費され、正当な新規接続を受け入れることができなくなります。