セクション: アクセス制御
説明/参照:
生体認証システムの精度に加えて、考慮しなければならない他の要素もあります。
これらの要因には、登録時間、スループット レート、許容性などが含まれます。
登録時間とは、評価対象となる生体認証特性のサンプルを提供して、システムに最初に「登録」するのにかかる時間です。許容される登録時間は約 2 分です。
たとえば、指紋システムでは、実際の指紋が保存され、高品質の画像を得るには指 1 本あたり約 250 KB が必要です。このレベルの情報は、非常に大規模なデータベースでのフォレンジック アプリケーションにおける 1 対多の検索に必要です。
指紋スキャン技術では、完全な指紋は保存されません。指紋から抽出された特徴は、約 500 ～ 1000 バイトのストレージを必要とする小さなテンプレートを使用して保存されます。このテンプレートから元の指紋を再構築することはできません。
音声や署名などの生体認証特性は時間の経過とともに変化する可能性があるため、登録情報の更新が必要になる場合があります。
出典: KRUTZ, Ronald L. & VINES, Russel D., The CISSP Prep Guide: Mastering the Ten Domains of Computer Security, 2001, John Wiley & Sons, 37 & 38 ページ。

倫理的なハッキングに関しては、誠実さと独立性という 2 つの点を考慮することが重要です。
犯罪歴のある元ハッカーや他人を雇用したり下請けに出す倫理的なハッキング会社を利用しないことで、組織はリスクのサブセット全体を回避できます。また、最先端の独自仕様およびオープンソースのテスト ツールとテクニックを運用するために必要な継続的な研究開発、システム開発、およびメンテナンスの取り組みに単一の会社が資金を提供するのは、費用対効果が高くありません。
外部の侵入テスト会社は、以前のシステム セキュリティの決定、現在のシステム環境の知識、または将来のシステム セキュリティ計画の影響を受けないため、内部の侵入テスト会社よりも効果的です。さらに、侵入テストを実行する従業員は、セキュリティのギャップを完全に報告することを躊躇する可能性があります。

セクション: セキュリティ運用管理
説明/参照:
システムの要件を定義する際のユーザーの参加が不十分です。ほとんどのプロジェクトは、プロジェクトの初期段階でユーザー コミュニティからの意見や実際のニーズが不十分であったために、ユーザーのニーズを満たすことができません。
その他の回答は、有効である可能性はありますが、情報システムがユーザーのニーズを満たせない場合に発生する最も一般的な問題を表していないため、正しくありません。
参考文献: All in One 834 ページ
ユーザーだけが自分のニーズを定義でき、したがってシステムが達成すべきことを定義できます。特にシステム要件の段階でユーザーの関与が不十分だと、通常、システムがユーザーのニーズに十分または適切に対応できないことになります。
出典: 情報システム監査および制御協会、公認情報システム監査人 2002 レビュー マニュアル、第 6 章: ビジネス アプリケーション システムの開発、取得、実装および保守 (296 ページ)。

セクション: セキュリティ運用管理
説明/参照:
災害発生時に実行されるアクションは、通常、情報セキュリティ ポリシーの一部ではなく、災害復旧計画 (DRP) の一部です。
災害復旧計画のコピーは計画に関係する担当者のみが持つ必要がありますが、組織の情報セキュリティ ポリシーの内容については全員が認識している必要があります。
出典: ALLEN, Julia H.、「The CERT Guide to System and Network Security Practices」、Addison-Wesley、2001、付録 B、実践レベルのポリシーの考慮事項 (398 ページ)。