シナリオ 7: 2005 年に米国アリゾナ州で設立された Hitec は、オンライン小売大手の 1 社です。特に、テレビ、電話、ラップトップなどの電子機器で知られています。Hitec は、顧客満足度を継続的に向上させ、テクノロジ プラットフォームとアプリケーションを最適化するよう努めています。同社の Web サイトとモバイル アプリケーションは、カスタマイズされた製品推奨やユーザー フレンドリな検索エンジンなど、オンライン ショッピング体験を簡素化するように設計されたさまざまな機能を提供しています。さらに、このシステムにより、顧客は Hitec のプラットフォームを通じて行った注文の進行状況を簡単に追跡できます。Hitec は、支払い履歴、注文の詳細、個人の好みなどの顧客情報を収集して管理するために、包括的な顧客管理システムを採用しています。
最近、Hitec はデータ侵害につながる深刻なサイバーセキュリティ インシデントに対処しなければなりませんでした。注文システムの誤動作に関する多数の顧客からの苦情を受けて、Hitec のエンジニアはネットワークの調査を開始しました。調査により、2 人の異なる攻撃者による不正アクセスの複数の事例が明らかになりました。攻撃者は、クレジットカード番号やログイン認証情報などの機密性の高い顧客情報にアクセスしました。Hitec は、検出された脅威に関する情報をサイバーセキュリティ アライアンスの他の企業とすぐに共有して支援を求める代わりに、自社の検出および対応機能のみに頼ることを選択しました。インシデントを解決した後、同社はデータ侵害の被害を受けたことを公に認めました。
しかし、同社は顧客に与えた影響に関する具体的な詳細の開示は控えた。サイバー攻撃から2週間後、別の小売企業であるBuyentが、Hitecとは異なり、同様のデータ侵害をうまく防いだことを発表しました。Buyentは、攻撃者の手口と攻撃を軽減するために採用した段階的な手順に関する詳細な情報を提供することで、透明性のあるアプローチをとった。両社は同じサイバーセキュリティアライアンスに所属していたため、Buyentは確立された情報共有および調整フレームワークに従って要求された情報を進んで共有し、共有された個人データが特定のデータ主体に直接帰属しない方法で処理されることを保証しました。これには、別途ケピされ、技術的および組織的手段によって保護された追加情報の利用が含まれていました。
安全な送信を確保するため、Buyent はアクセスにパスワードが必要なリンクを送信し、Hitec に送信された暗号化されたファイルを保護しました。これらのファイルには、サイバーセキュリティ イベントを効果的に検出して対応するために Buyent が採用した包括的なガイドラインとアプローチが含まれていました。
提供された情報を慎重に分析した結果、Hitec は、以前の攻撃は主に、対応に対する検出能力の弱さに起因すると結論付けました。Hitec は手順に戦略的な変更を加えました。疑わしい悪意のあるネットワーク アクティビティを検出するための技術的アプローチとして、Darknet の利用を導入しました。さらに、Hitec は、これらの制御を実装することで、定期的なネットワークおよびシステムのテストを義務付ける新しいセキュリティ ポリシーを確立しました。Hitec は、システムの脆弱性と脅威を特定する能力を強化し、それによって全体的なサイバー セキュリティ防御を強化することを目指しました。
最後に、Hitec は、従業員向けのサイバーセキュリティ トレーニングを実施するために、トレーニング プロバイダーと契約することにしました。彼らは、社内での役割に関係なく、すべてのスタッフに適用される重要なサイバーセキュリティ プラクティスを網羅したトレーニング セッションを提供することに同意しました。合意したトレーニング日が近づくと、トレーニング プロバイダーは Hitec に必要なドキュメントを要求しました。これには、サイバーセキュリティ ポリシーと、会社が採用しているプラ​​クティスまたはガイドラインに関連する具体的な例が含まれます。Hitec が要求されたリソースを提供しなかったため、トレーニング プロバイダーはトレーニング セッションの実施を拒否しました。
上記のシナリオに基づいて、次の質問に答えてください。
シナリオ 7 に基づくと、トレーニング プロバイダーは、Hitec が必要なリソースを提供しなかったと主張して、サイバーセキュリティ トレーニング セッションを実施しませんでした。これは許容されるのでしょうか?

ソフトウェア開発者の Sarah は、新しいプロジェクトに取り組んでおり、クラウド プロバイダーがサポートするプログラミング言語、ライブラリ、ツールを使用してカスタム アプリケーションを展開したいと考えています。ただし、基盤となるインフラストラクチャの管理については心配したくありません。Sarah はどのタイプのクラウド コンピューティング サービスを使用すべきでしょうか。

中程度から高リスクに分類される脆弱性の脆弱性評価レポートにはどのような情報を含める必要がありますか?

シナリオ 5: Pilotron は、再生可能エネルギーを使用する電気自動車で知られる大手メーカーです。同社の目標の 1 つは、化石燃料の消費を削減して世界をよりクリーンな場所にすることです。電気自動車に加えて、Pilotron はソーラー ルーフや高度なバッテリー技術も提供しており、これらはすべてベルギーのバストーニュにある工場で製造されています。ヨーロッパで最も革新的なメーカーの 1 つである Pilotron は、モーター、センサー、バッテリーなどの独自のコンポーネントを作成するために研究開発に多額の投資を行っています。さらに、高品質の製品を提供することに重点を置き、すべての従業員に実践的なトレーニングを含む集中的なオンボーディング プログラムを受講することを義務付けています。
Pilotron は、情報を保護するためのサイバーセキュリティ プログラムの確立を優先していませんでした。このことは、不満を抱いた従業員が同社のサイバーセキュリティ対策の欠如を利用したときに明らかになりました。この従業員は、Pilotron の既存のセキュリティ対策は簡単に回避できることを知っていました。調査の結果、ネットワーク データ転送の急増が疑われ、同社は 5 週間後にこの事件に気付きました。Pilotron は、この従業員が日常業務とは関係のないソフトウェア開発リソースへのアクセスを複数回要求していることを発見しました。この従業員は、偽のユーザー名を使用し、実装されているサイバーセキュリティ制御を回避することで、Pilotron の製品の 1 つのコードを直接変更しました。この許可されていないコード変更により、従業員は機密性の高いデータを外部の関係者に転送することができました。内部からの脅威は大きなリスクをもたらし、既存のセキュリティ制御は効果的ではないことを認識した Pilotron は、サイバーセキュリティの焦点をプロアクティブな検出および防止戦略に移すことを決定しました。同社は、異常なアクセス パターン、大量のデータのアップロード、資格情報の不正使用を検出するセキュリティ ソフトウェアを実装しました。さらに、Pilotron は、ファイアウォールの反対側にあるデバイス (PC、サーバー) を分離することで、システムのセキュリティを向上させる必要があることを認識しました。
同社はまた、アクセスを要求する個人の検証を確実にするために、アイデンティティ管理ソリューションを実装しました。同社は、承認された個人だけが機密システムとデータにアクセスできるようにするメカニズムを実装することを決定しました。従来のユーザー名とパスワードに加えて、従業員は指紋などの一意の個人識別子と、モバイルアプリで生成されたワンタイム検証コードを提供する必要があります。さらに、セキュリティ対策を強化し、クラウドコンピューティングのメリットを得るために、Pilotron はクラウドベースのサービスを活用することを決定しました。Pilotroo の決定の決定的な要因は、パーソナライズされたインフラストラクチャを構築および監視する機能でした。事前設定されたプラットフォームやソフトウェアアプリケーションに依存する代わりに、同社は仮想化環境を作成することができます。大幅なカスタマイズレベルは、プロジェクトやクライアントの特定の要件に合わせてインフラストラクチャを調整できるため、Pilotron にとって最も重要です。
上記のシナリオに基づいて、次の質問に答えてください。
内部攻撃を軽減するために、Pilotron はどのようなセキュリティ ソフトウェアを実装しましたか?

シナリオ 7: 2005 年に米国アリゾナ州で設立された Hitec は、オンライン小売大手の 1 社です。特に、テレビ、電話、ラップトップなどの電子機器で知られています。Hitec は、顧客満足度を継続的に向上させ、テクノロジ プラットフォームとアプリケーションを最適化するよう努めています。同社の Web サイトとモバイル アプリケーションは、カスタマイズされた製品推奨やユーザー フレンドリな検索エンジンなど、オンライン ショッピング体験を簡素化するように設計されたさまざまな機能を提供しています。さらに、このシステムにより、顧客は Hitec のプラットフォームを通じて行った注文の進行状況を簡単に追跡できます。Hitec は、支払い履歴、注文の詳細、個人の好みなどの顧客情報を収集して管理するために、包括的な顧客管理システムを採用しています。
最近、Hitec はデータ侵害につながる深刻なサイバーセキュリティ インシデントに対処しなければなりませんでした。注文システムの誤動作に関する多数の顧客からの苦情を受けて、Hitec のエンジニアはネットワークの調査を開始しました。調査により、2 人の異なる攻撃者による不正アクセスの複数の事例が明らかになりました。攻撃者は、クレジットカード番号やログイン認証情報などの機密性の高い顧客情報にアクセスしました。Hitec は、検出された脅威に関する情報をサイバーセキュリティ アライアンスの他の企業とすぐに共有して支援を求める代わりに、自社の検出および対応機能のみに頼ることを選択しました。インシデントを解決した後、同社はデータ侵害の被害を受けたことを公に認めました。
しかし、同社は顧客に与えた影響に関する具体的な詳細の開示は控えた。サイバー攻撃から2週間後、別の小売企業であるBuyentが、Hitecとは異なり、同様のデータ侵害をうまく防いだことを発表しました。Buyentは、攻撃者の手口と攻撃を軽減するために採用した段階的な手順に関する詳細な情報を提供することで、透明性のあるアプローチをとった。両社は同じサイバーセキュリティアライアンスに所属していたため、Buyentは確立された情報共有および調整フレームワークに従って要求された情報を進んで共有し、共有された個人データが特定のデータ主体に直接帰属しない方法で処理されることを保証しました。これには、別途ケピされ、技術的および組織的手段によって保護された追加情報の利用が含まれていました。
安全な送信を確保するため、Buyent はアクセスにパスワードが必要なリンクを送信し、Hitec に送信された暗号化されたファイルを保護しました。これらのファイルには、サイバーセキュリティ イベントを効果的に検出して対応するために Buyent が採用した包括的なガイドラインとアプローチが含まれていました。
提供された情報を慎重に分析した結果、Hitec は、以前の攻撃は主に、それに対する検出能力の弱さに起因すると結論付けました。Hitec は手順に戦略的な変更を加えました。疑わしい悪意のあるネットワーク アクティビティを検出するための技術的アプローチとして、ダークネットの利用を導入しました。さらに、Hitec は、これらの制御を実装することで、定期的なネットワークおよびシステムのテストを義務付ける新しいセキュリティ ポリシーを確立しました。Hitec は、システムの脆弱性と脅威を特定する能力を強化し、それによって全体的なサイバー セキュリティ防御を強化することを目指しました。
最後に、Hitec は、従業員向けのサイバーセキュリティ トレーニングを実施するために、トレーニング プロバイダーと契約することにしました。彼らは、社内での役割に関係なく、すべてのスタッフに適用される重要なサイバーセキュリティ プラクティスを網羅したトレーニング セッションを提供することに同意しました。合意したトレーニング日が近づくと、トレーニング プロバイダーは Hitec に必要なドキュメントを要求しました。これには、サイバーセキュリティ ポリシーと、会社が採用しているプラ​​クティスまたはガイドラインに関連する具体的な例が含まれます。Hitec が要求されたリソースを提供しなかったため、トレーニング プロバイダーはトレーニング セッションの実施を拒否しました。
上記のシナリオに基づいて、次の質問に答えてください。
シナリオ 7 に基づいて、Buyent は Hitec に情報を送信する際に安全なファイル共有を確保するためにどのような方法を使用しましたか?