シナリオ 2: Beauty は最近、従来の小売業を離れて e コマース モデルに切り替えた化粧品会社です。経営陣は、社内で独自のカスタム プラットフォームを構築し、オンライン送金をサポートするオンライン決済システムを運用する外部プロバイダーに支払いプロセスを委託することを決定しました。
ビジネス モデルのこの変革により、重要な資産に関連する特定された脅威と脆弱性に基づいて、多くのセキュリティ管理が実装されました。お客様の情報を保護するため。
Beauty の従業員は機密保持契約に署名する必要がありました。さらに、同社はすべてのユーザーのアクセス権を見直し、許可された担当者のみが機密ファイルにアクセスできるようにし、新しい職務分掌表を作成しました。
しかし、IT チームにとって移行は困難でした。電子商取引モデルに移行してから間もなく、セキュリティ インシデントに対処しなければならなくなりました。このインシデントを調査した結果、チームは、マルウェア対策ソフトウェアが古いために、攻撃者がファイルへのアクセスを不正行為し、名前や自宅の住所などの顧客情報を漏洩させたと結論付けました。
IT チームは、古いマルウェア対策ソフトウェアの使用を停止し、同様の事件が発生した場合に悪意のあるコードを自動的に削除する新しいソフトウェアをインストールすることを決定しました。新しいソフトウェアは社内のすべてのワークステーションにインストールされました。新しいソフトウェアをインストールした後、チームは最新のマルウェア定義でソフトウェアを更新し、常に最新の状態に保つために自動更新機能を有効にしました。さらに、機密情報にアクセスするときにユーザー ID とパスワードを要求する認証プロセスも確立しました。
さらに、ビューティー社は、システムおよびネットワークのセキュリティの重要性についての意識を高めるために、機密情報にアクセスできる IT チームおよびその他の従業員を対象に、情報セキュリティ意識向上セッションを多数実施しました。
シナリオ 2 に基づいて、機密情報にアクセスするときにユーザー ID とパスワードを必要とするユーザー認証プロセスを確立することで、IT チームはどの情報セキュリティ原則を確保することを目指していますか?

シナリオ 4: TradeB。市場に参入したばかりの商業銀行で、顧客からの預金を受け入れ、基本的な金融サービスと投資用のローンを提供します。TradeB は、ISO/IEC 27001 に基づく情報セキュリティマネジメントシステム (ISMS) の導入を決定しました。 マネジメントの経験はありません。
[^システムの実装において、TradeB の経営陣は 2 人の専門家と契約して、ISMS 導入プロジェクトの指揮と管理を担当しました。
まず、プロジェクト チームは ISO/IEC 27001 Annex A の 93 の管理を分析し、企業に適用できると思われるセキュリティ管理とその目的のみをリストしました。この分析に基づいて、適用性宣言の草案を作成しました。その後、リスク評価を実施し、ハードウェア、ソフトウェア、ネットワークなどの資産と脅威や脆弱性を特定し、潜在的な影響と可能性を評価し、3 つの非数値カテゴリー (低、低、低、低) に基づいてリスクのレベルを決定しました。中、高）。リスク評価基準に基づいてリスクを評価し、高リスクのカテゴリのみを扱うことを決定しました。また、新しいバージョンのアクセス制御ポリシーを確立することで、管理者権限の不正使用と複数のハードウェア障害によるシステムの中断に主に焦点を当てることを決定しました。 、ユーザーアクセスを管理および制御するためのコントロールの実装、および事業継続のためのICTの準備のためのコントロールの実装 最後に、リスク評価レポートの草案を作成し、その中で、これらのセキュリティコントロールの実装後にリスクのレベルが許容レベルを下回っている場合は、と記載しました。上記のシナリオに基づいて、次の質問に答えてください。
高と分類されたリスクのみを扱うという決定は、Trade B が次のことを行っていることを示しています。

ある企業は、閲覧パターンや人口統計などの顧客行動のさまざまな属性を分析し、類似した特性に基づいて顧客をグループ化するアルゴリズムを使用することにしました。こちらです。
同社は、頻繁に購入するユーザーやトレンドフォロワーなどを特定できるようになります。同社はどのようなタイプの機械学習を使用していますか?

シナリオ 6: Skyver は、ゲーム機やフラットスクリーン TV などの電子製品を世界中に発送しています。コンピューターやプリンターなど。当社は、情報セキュリティを確保するため、ISO/IEC 27001の要求事項に基づいた情報セキュリティマネジメントシステム（ISMS）を導入することを決定しました。
同社の最高の情報セキュリティ専門家であるコリンは、情報セキュリティの課題およびその他の情報セキュリティ関連の管理について、社内の従業員向けのトレーニングおよび意識向上セッションを開催することにしました。このセッションには、Skyver の情報セキュリティへのアプローチや、フィッシングやマルウェアを軽減するための技術などのトピックが含まれていました。
セッションの参加者の 1 人は、人事部で働くリサです。Colin は、Skyver の既存の情報セキュリティ ポリシーと手順を正直かつ公正な方法で説明していますが、議論されている問題の一部が専門的すぎるため、セッションを完全に理解していないと感じています。したがって、多くの場合、彼女はトレーナーや同僚に追加の助けを求めます。上記のシナリオに基づいて、次の質問に答えてください。
コリンはリサとの状況にどのように対処すべきでしたか?

シナリオ 9: OpenTech は IT および通信サービスを提供します。データ通信企業とネットワーク オペレータがマルチサービス プロバイダーになるのに役立ちます。内部監査中に、内部監査人のティムは監視手順に関連する不適合を特定しました。彼はいくつかのシステムの脆弱性を特定し、評価しました。
ティムは、機密情報を処理するシステムとサービスのユーザー ID が再利用されており、アクセス制御ポリシーが遵守されていないことを発見しました。この不適合の根本原因を分析した後、ISMS プロジェクト マネージャーは、不適合を解決するために考えられるアクションのリストを作成しました。次に、ISMS プロジェクト マネージャーはリストを分析し、根本原因の除去と将来の同様の状況の防止を可能にする活動を選択しました。これらの活動は行動計画に盛り込まれ、経営トップによって承認された行動計画は次のように書かれました。
情報通信技術 (ICT) 部門によってネットワーク アクセスが効果的に管理および監視されるように、新しいバージョンのアクセス コントロール ポリシーが確立され、新しい制限が作成されます。 承認された行動計画が実施され、計画に記載されているすべてのアクションが実行されます。文書化されていました。
シナリオ 9 に基づくと、特定された不適合に対する行動計画は、検出された不適合を排除するのに十分ですか?