この企業が影響を受けているセキュリティ原則は可用性であり、これは正規ユーザーがシステムまたはネットワークのリソースと情報にアクセスして使用できる能力を指します。パスワードの複雑性とアカウントロックアウトポリシーを導入することで、同社はシステムまたはネットワークのセキュリティと認証を強化しようとしていますが、同時に正規ユーザーにとってのシステムまたはネットワークの可用性を低下させる可能性もあります。
ユーザーがパスワードを忘れたり、パスワードを誤って入力したり、ブルートフォース攻撃やサービス拒否攻撃の被害に遭ったりすると、システムやネットワークから締め出され、業務や機能を実行できなくなる可能性があります。そのため、企業はシステムやネットワークのセキュリティと可用性のバランスを取り、パスワードとアカウントのロックアウトポリシーがユーザーとビジネスに与える影響を考慮する必要があります12。
参考文献: CISSP CBK、第5版、第1章、17ページ。CISSP模擬試験 - 無料20問と解答、質問13。

2002 年サーベンス・オクスリー (SOX) 法は、財務報告に特有の情報処理および保管要件に関心のある公開会社に適用されます。SOX は、企業による不正な会計活動から投資家を保護することを目的とした連邦法です。SOX は、公開会社に対し、財務報告プロセスに関する内部統制を確立および維持し、財務諸表を独立監査人による監査を受けることを義務付けています。また、SOX は、公開会社に対し、財務記録および関連する監査文書を少なくとも 5 年間保管し、財務情報の機密性、完全性、および可用性を保護するための適切なセキュリティ対策を実施することを義務付けています。参考文献: CISSP All-in-One Exam Guide、第 8 版、第 1 章: セキュリティとリスク管理、19 ページ。CISSP 模擬試験 | Boson、質問 8。

機密性の高い顧客データをデータベースに追加する際に、データプライバシーを確​​保するための最も効果的な実装方法は、データリンク暗号化です。データリンク暗号化とは、データリンク層（OSI参照モデルの第2層）を介して送信または通信されるデータまたは情報を暗号化または保護する暗号化、保護技術、またはメカニズムの一種です。データリンク層は、スイッチ、ブリッジ、無線アクセスポイントなど、物理層（OSI参照モデルの第1層）によって接続またはリンクされたノードまたはデバイス間で、データまたは情報の信頼性の高い、またはエラーのない送信または通信を提供する層です。データリンク暗号化は、データリンク層を介して送信または通信されるデータまたは情報に対して、高度なセキュリティまたは保護を提供することができます。これは、第三者またはデータリンク層を介してデータまたは情報を傍受または監視する攻撃者による、データまたは情報への不正または不適切なアクセス、開示、変更、または傍受のリスクを防止または軽減できるためです。また、データリンク層を介して送信または通信されるデータまたは情報の機密性、完全性、または真正性も提供できます。データリンク暗号化は、機密性の高い顧客データがデータベースに追加される際に、データプライバシーを確​​保するための最も効果的な実装です。これは、機密性の高い顧客データまたはデータベースに追加される情報を暗号化または保護し、機密性の高い顧客データまたは情報をデータリンク層上で傍受または監視する第三者または攻撃者による、機密性の高い顧客データまたは情報への不正アクセス、開示、改ざん、傍受のリスクを防止または軽減することにより、データリンク層を介して送信または通信される機密性の高い顧客データまたは情報のセキュリティまたは品質を確保または維持できるためです。
* A. 裁量アクセス制御 (DAC) 手順は、機密性の高い顧客データがデータベースに追加される際にデータプライバシーを確​​保するための最も効果的な実装方法ではなく、アクセスまたは許可を許可または拒否するアクセス制御または保護メカニズムまたはプロセスの一種です。
* システムまたはサービス内のリソースまたはデータへのアクセスは、システムまたはサービス内のリソースまたはデータの所有者または作成者（ユーザー、デバイス、プロセスなど）の裁量または決定に基づいて行われます。裁量アクセス制御（DAC）手順は、システムまたはサービスに対して低いレベルのセキュリティまたは保護しか提供しません。これは、システムまたはサービス内のリソースまたはデータの所有者または作成者（ユーザー、デバイス、プロセスなど）によって承認または許可されていないユーザーまたはデバイスによる、システムまたはサービス内のリソースまたはデータへの不正または不適切なアクセスまたは許可のリスクを増大または強化する可能性があるためです。また、アクセス制御または保護メカニズムまたはプロセスに関して、システムまたはサービス内のリソースまたはデータの所有者または作成者（ユーザー、デバイス、プロセスなど）の信頼または信用に依存する可能性もあります。裁量アクセス制御（DAC）手順は、機密性の高い顧客データがデータベースに追加される場合、データプライバシーを確​​保するための最も効果的な実装方法ではありません。なぜなら、機密性の高い顧客データやデータリンク層を介して送信または通信される情報の暗号化や保護を提供せず、また、機密性の高い顧客データや情報をデータリンク層を介して傍受または監視する第三者や攻撃者による、機密性の高い顧客データや情報への不正アクセス、不適切なアクセス、開示、改ざん、傍受のリスクを防止または軽減しないからです。
* B. 強制アクセス制御 (MAC) 手順は、機密性の高い顧客データがデータベースに追加される場合のデータプライバシーを確​​保するための最も効果的な実装方法ではなく、システムまたはサービス内のリソースまたはデータの機密性または分類 (公開、機密、秘密など) と、システムまたはサービス内のリソースまたはデータにアクセスまたは処理するユーザーまたはデバイスのクリアランスまたは承認 (低、中、高など) に基づいて、システムまたはサービス内のリソースまたはデータへのアクセスまたは許可を許可または拒否するアクセス制御または保護メカニズムまたはプロセスの一種です。強制アクセス制御 (MAC) 手順は、システムまたはサービス内のリソースまたはデータの機密性または分類 (公開、機密、秘密など) に基づいて、システムまたはサービス内のリソースまたはデータにアクセスまたは処理するための適切なまたは必要な許可または承認を持たないユーザーまたはデバイスによる、システムまたはサービス内のリソースまたはデータへの不正または不適切なアクセスまたは許可のリスクを防止または軽減できるため、システムまたはサービスに対して高いレベルのセキュリティまたは保護を提供できます。ただし、強制アクセス制御 (MAC) 手順は、機密性の高い顧客データがデータベースに追加される場合、データプライバシーを確​​保するための最も効果的な実装ではありません。これは、機密性の高い顧客データまたはデータリンク層を介して送信または通信される情報に対する暗号化または保護を提供せず、機密性の高い顧客データまたは情報をデータリンク層を介して傍受または監視する第三者または攻撃者による機密性の高い顧客データまたは情報への不正または不適切なアクセス、開示、変更、または傍受のリスクを防止または軽減しないためです。
* D. 職務の分離は、機密性の高い顧客データがデータベースに追加される場合のデータプライバシーを確​​保するための最も効果的な実装方法ではなく、むしろ、システムまたはサービス内のリソースまたはデータに関連するタスクまたは機能を、銀行の窓口係、監督者、または管理者など、組織内のさまざまなユーザーまたはデバイス間で分離または分割する制御または保護技術またはメカニズムの一種であり、システムまたはサービス内のリソースまたはデータに対する完全な制御または権限を持つユーザーまたはデバイス（銀行の窓口係、監督者、または管理者など）による、システムまたはサービス内のリソースまたはデータの不正使用、誤り、または乱用のリスクを防止または軽減します。職務分掌は、システムまたはサービスに対して中程度のセキュリティまたは保護を提供することができます。なぜなら、銀行の窓口係、監督者、管理者など、システムまたはサービス内のリソースまたはデータに対して完全な制御権または権限を持つユーザーまたはデバイスによる、システムまたはサービス内のリソースまたはデータの不正使用、誤り、または乱用のリスクを防止または軽減できるからです。また、職務分掌は、タスクまたは機能の説明責任、透明性、または監査可能性も提供します。
* システムまたはサービス内のリソースまたはデータに関連する、または関連性のあるリソースまたはデータ、組織内のさまざまなユーザーまたはデバイス（銀行の窓口係、監督者、または管理者など）間のリソースまたはデータに関連するリソースまたはデータ。ただし、機密性の高い顧客データがデータベースに追加される場合、職務分掌はデータプライバシーを確​​保するための最も効果的な実装ではありません。これは、機密性の高い顧客データまたはデータリンク層を介して送信または通信される情報の暗号化または保護を提供せず、機密性の高い顧客データまたは情報をデータリンク層を介して傍受または監視する第三者または攻撃者による機密性の高い顧客データまたは情報の不正アクセス、開示、変更、または傍受のリスクを防止または軽減しないためです。
参考文献：CISSP All-in-One Exam Guide、第8版、第5章、146ページ；公式(ISC)2 CISSP CBK Reference、第5版、第5章、211ページ

セキュリティ要件は、システムライフサイクルのシステム分析プロセスで策定されるべきです。システムライフサイクルとは、システムの初期構想から最終的な廃棄に至るまで、システムの作成または変更を行うプロセスです。システムライフサイクルは、ウォーターフォール、アジャイル、スパイラルなどのモデルに従い、システム開発プロセスのフェーズとアクティビティを定義します。システム分析は、システムライフサイクルのフェーズの1つであり、現在のシステムを調査し、ユーザーと利害関係者のニーズと期待を特定して定義します。
システム分析には、セキュリティ要件の開発も含まれます。セキュリティ要件とは、システムのセキュリティ目標、機能、および制約を規定する記述です。セキュリティ要件は、システム分析プロセスの中で開発されるべきです。その理由は次のとおりです。
* これにより、セキュリティが後付けで追加またはパッチされるのではなく、システム設計と実装に統合され、組み込まれることが保証されます。
* システム開発のコストと複雑さを軽減できます。セキュリティ上の問題や欠陥をシステム開発プロセスの初期段階で検出して修正できるため、後になってから対処するよりも、コストと複雑さを軽減できます。
* セキュリティ要件によってシステムがセキュリティ標準とベストプラクティスを満たし、ユーザーと利害関係者のセキュリティニーズと期待を満たすことが保証されるため、システムの品質と有効性を向上させることができます。 参考資料: [CISSP All-in-One Exam Guide]、第 8 章:
ソフトウェア開発セキュリティ、セクション: ソフトウェア開発ライフサイクルにおけるセキュリティ、pp.
1009-1010。