CISSPのサンプル問題（本番形式・解説付き）

解説

専用線や VPN、データ同期の経路のような接続の部分は、どちらの管理にも属しにくく、評価の漏れが出ます。 「接続は、事業者の SOC 2 の範囲に含まれるから」は不適切です。接続の部分は、事業者の報告書の範囲に入りにくい箇所です。含まれないために、漏れが出ます。 「接続の部分は、自社が調べる権限を持たないから」は不適切です。専用線や VPN は、自社が確かめられる場合もあります。問題は、どちらの管理にも属しにくいことです。 「専用線は暗号化されていて、調べる必要がないから」は不適切です。暗号化されていることは、評価を省く理由になりません。接続の部分は、担当を決めて確かめます。

解説

最小特権は「1 人の権限の大きさ」を絞る原則で、職務の分離は「1 つの業務の中の権限を人に分ける」原則です。目的が違います。 「どちらも同じ原則の別名で、権限を絞れば両方満たされる」は不適切です。2 つは目的が違います。権限を絞っても、1 つの業務の権限を人に分けなければ職務の分離は満たされません。 「最小特権は権限を必要になった時に付け、職務の分離は付けた権限を外さない」は不適切です。権限は不要になれば外します。外す原則は最小特権で、職務の分離は権限を人に分ける原則です。 「職務の分離は、不正に要る権限を 1 人に集める原則である」は不適切です。職務の分離は、不正に要る複数の権限を 1 人に持たせない原則で、集める原則ではありません。

解説

経路を一部の事業者に頼ると、その障害や経路の乗っ取りで通信が止まり、代替も確保できません。複数の事業者との接続で代替の経路を確保します。 「その事業者との契約を見直し、同じ事業者への接続回線を増やす」は不適切です。同じ事業者への回線を増やしても、その事業者の障害や経路の乗っ取りで止まります。代替になりません。 「元のサーバが CDN からの通信だけを受けるように絞る」は不適切です。それは CDN を迂回した直接の攻撃への対策で、事業者の経路の乗っ取りには備えません。 「顧客の網につながるルータに入口フィルタを置く」は不適切です。入口フィルタは送信元アドレスの詐称を落とすもので、経路を頼る先の事業者の障害には備えません。

解説

後ろについて入るのが共連れ、二重扉がマントラップ、論理側のログと突き合わせて価値が出るのが入退室の記録です。最小権限は運用の原則、ACL は論理側の制御です。

解説

支払いカードの情報は、PCI DSS が保護を求めます。種類ごとに適用されるものが違うので、分類の区分に加えて、種類の情報もラベルに持たせると引きやすくなります。 「HIPAA」は不適切です。HIPAA は、医療情報（PHI）の保護を求めるものです。 「FIPS 199」は不適切です。FIPS 199 は、システムの影響度を低・中・高で決める方式です。カード情報の保護を求めるものではありません。 「大統領令 13526」は不適切です。大統領令 13526 は、米国の政府の機密区分を定めたもので、民間のカード情報の保護を求めるものではありません。