PIN は Personal Identification Number の略で、その名の通り数字の組み合わせです。
次の答えは正しくありません。
ユーザー ID ユーザー ID は数字である必要はなく、ユーザー ID は ID を確認するためにのみ使用されるため、これは誤りです。
パスワード。パスワードは数字である必要はなく、任意の文字の組み合わせを使用できるため、これは誤りです。
チャレンジ。チャレンジは数値として定義されておらず、何でもよいため、これは不正確です。

セキュリティ プログラムはトップダウンのアプローチを使用する必要があります。
開始、サポート、指示はトップマネジメントから行われます。なんとかやり遂げる
中間管理職; そしてスタッフに連絡します。
対照的に、ボトムアップ アプローチとは、スタッフ メンバー (通常は IT 担当者) が
適切な管理サポートを受けずにセキュリティ プログラムを開発しようとすると、
方向。ボトムアップのアプローチは一般に効果が低く、対処するのに十分な広さがありません。
すべてのセキュリティリスクがあり、失敗する運命にあります。
トップダウンのアプローチにより、実際に保護する責任を負う人々が確実に配置されます。
会社の資産 (上級管理職) がプログラムを推進しています。
以下は不正解です。
Delphi のアプローチはブレーンストーミング手法のためのものであるため、正しくありません。
ボトムアップのアプローチも間違っています。このアプローチは、IT 部門が行うようなものです。
上層部からの適切なサポートなしにセキュリティ プログラムを開発しようとしました。
テクノロジーのアプローチも、最良のカテゴリーに当てはまらないため、間違っています。
答え。
この質問に使用された参考文献:
ハリス、ション (2012-10-18)。CISSP オールインワン試験ガイド、第 6 版 (p. 63)。マグロウヒル。
キンドル版。

識別と認証は、ほとんどのアクセス制御システムの要です。識別により、システム上のアクションに対するユーザーの責任が確立されます。
制御環境を確立して、システム上の識別、認証、認可、特権の使用に関するアクティビティをログに記録できます。これは、エラーの発生、不正なアクションの実行の試みを検出したり、提供された資格情報がいつ実行されたかを検証したりするために使用できます。探偵デバイスとしてのロギング システムは、許可されたユーザーによって実行されたアクション (成功と失敗の両方) とタスクの証拠を提供します。
ユーザー ID または同様の値によって個人が識別されると、その個人は認証される必要があります。つまり、本人であることを証明する必要があります。認証には、人が知っていること、人が持っていること、人そのものという 3 つの一般的な要素を使用できます。これらは、一般に、知識による認証、所有権による認証、特性による認証とも呼ばれます。
ユーザーがリソースにアクセスできるようにするには、まず自分が本人であること、必要な資格情報を持っていること、要求しているアクションを実行するために必要な権利または特権が与えられていることを証明する必要があります。これらの手順が正常に完了すると、ユーザーはネットワーク リソースにアクセスして使用できるようになります。ただし、ユーザーのアクティビティを追跡し、ユーザーの行動に対する責任を強制する必要があります。
識別は、サブジェクト (ユーザー、プログラム、またはプロセス) が主張するエンティティであることを確認する方法を説明します。ユーザー名またはアカウント番号を使用して識別を行うことができます。適切に認証されるために、サブジェクトは通常、資格情報セットに 2 番目の部分を提供する必要があります。この部分は、パスワード、パスフレーズ、暗号キー、個人識別番号 (PIN)、解剖学的属性、またはトークンである可能性があります。
これら 2 つの資格情報アイテムは、このサブジェクトに関して以前に保存された情報と比較されます。これらの資格情報が保存されている情報と一致する場合、サブジェクトは認証されます。しかし、まだ終わっていません。サブジェクトが資格情報を提供し、適切に識別されると、アクセスしようとしているシステムは、要求されたアクションを実行するために必要な権利と特権がこのサブジェクトに与えられているかどうかを判断する必要があります。システムは、ある種のアクセス制御マトリックスを調べるか、セキュリティ ラベルを比較して、このサブジェクトが実際に要求されたリソースにアクセスし、試行しているアクションを実行できるかどうかを確認します。サブジェクトがリソースにアクセスできるとシステムが判断した場合、システムはサブジェクトを許可します。
識別、認証、認可、説明責任には密接で補完的な定義がありますが、それぞれにはアクセス制御のプロセスで特定の要件を満たす異なる機能があります。ユーザーはネットワークに対して適切に識別および認証されている場合がありますが、ファイル サーバー上のファイルにアクセスする権限を持っていない可能性があります。一方、ユーザーはファイル サーバー上のファイルへのアクセスを許可されている場合がありますが、ユーザーが適切に識別および認証されるまで、それらのリソースにはアクセスできません。

説明/参照:
通信セキュリティは、目的の受信者にコンテンツを配信しながら、無許可の傍受者がわかりやすい形式で通信にアクセスすることを防止する規律です。米国国防総省の文化では、COMSEC という略語で呼ばれることがよくあります。この分野には、暗号セキュリティ、伝送セキュリティ、排出セキュリティ、トラフィック フロー セキュリティ、COMSEC 機器の物理セキュリティが含まれます。
他の回答はすべて不正解です。
情報セキュリティー
情報セキュリティはプログラム全体になりますが、通信セキュリティはより具体的でより適切な答えです。情報セキュリティとは、情報および情報システムを不正なアクセス、使用、開示、破壊、変更、閲覧、検査、記録、または破壊から保護することを意味します。
情報セキュリティ、コンピュータ セキュリティ、情報保証という用語は、頻繁に誤って同じ意味で使用されます。これらの分野は相互に関連していることが多く、情報の機密性、完全性、可用性を保護するという共通の目標を共有しています。ただし、それらの間には微妙な違いがいくつかあります。
これらの違いは主に、主題へのアプローチ、使用される方法論、および集中分野にあります。情報セキュリティは、データの形式 (電子形式、印刷形式、その他の形式) に関係なく、データの機密性、完全性、および可用性に関係します。コンピュータ セキュリティは、コンピュータによって保存または処理される情報を気にせずに、コンピュータ システムの可用性と正しい動作を確保することに重点を置くことができます。
サーバーセキュリティ
サーバー セキュリティは情報セキュリティ プログラム全体の一部を担っていますが、ネットワーク上のデータについて話し、傍受を防止する場合には、通信セキュリティの方が適切な答えとなります。出版物 800- を参照してください。
詳細については、以下の参考資料にリストされている 123 を参照してください。
クライアントのセキュリティ
クライアントのセキュリティは情報セキュリティ プログラム全体の一部を担っていますが、通信セキュリティの方がより適切な答えです。クライアントを保護しても、ネットワーク上のデータの傍受やキャプチャは防止されません。今日、人々はこれをエンドポイント セキュリティと呼んでいます。
参考文献:
http://csrc.nist.gov/publications/nistpubs/800-123/SP800-123.pdf
そして
https://en.wikipedia.org/wiki/Information_security
そして
https://en.wikipedia.org/wiki/Communications_security

セクション: アクセス制御
説明/参照:
Bell LaPadula モデル (Bell 1975): オブジェクトとサブジェクトの粒度は事前定義されていませんが、モデルは単純なアクセス権を規定しています。Bell LaPadula モデルは、単純なアクセス制限に基づいて、必須ルールで強化された任意のアクセス制御ポリシーを適用します。厳格な機密性要件があり、強い整合性要件がないアプリケーションは、適切にモデル化できます。
これらの単純な権利とポリシーの強制ルールを組み合わせると、適切にモデル化できるアプリケーションの範囲が大幅に制限されます。
出典: TIPTON、Hal、(ISC)2、CISSP 試験プレゼンテーションの紹介。
以下もチェックしてください:
IFIP TC11 第 12 回情報セキュリティ国際会議の議事録、サモス島 (ギリシャ)、5 月
1996 年、セキュリティモデルについて。