CISSPの練習問題（当サイト作成）

正解：ウ（目的に対する不確かさの影響。）　当サイトの解答

• ア × 誤り リスクを脅威と同じものだと考えた

  脅威はリスクを生む要因の一つですが、リスクそのものではありません。リスクは組織の目的への影響で捉えます。

• イ × 誤り リスクを脆弱性と同じものだと考えた

  弱点は脆弱性です。リスクは脆弱性や脅威を含めた「目的への影響」の見方です。

• ウ ○ 正しい

  ISO Guide 73 はリスクを「目的に対する不確かさの影響」と定義しています。起きるかどうか分からないことが、目的にどう影響するかを表します。

• エ × 誤り リスクを、発生済みの損害だけを指すものだと考えた

  発生済みの損害はリスクではなく被害です。リスクはまだ確定していない不確かさを含みます。

正解：ア（残留リスク（残存リスク））　当サイトの解答

• ア ○ 正しい

  残留リスクは対策を講じたあとにも残るリスクです。NIST は「セキュリティ対策の実施後に残るリスクの部分」と定義しています。

• イ × 誤り 対策前のリスクのことだと考えた

  固有リスクは対策を講じる前のリスクです。対策後に残るものではありません。

• ウ × 誤り 保険などで他者に負わせる対応そのものを指すと考えた

  移転はリスクの扱い方の一つで、残ったリスクの名前ではありません。

• エ × 誤り リスクが残らないようにする対応を指すと考えた

  回避はリスクの原因となる活動をやめる扱い方です。対策後に残るリスクの名前ではありません。

正解：エ（メディアのサニタイズ（media sanitization））　当サイトの解答

• ア × 誤り クイックフォーマットで復元できなくなると考えた

  クイックフォーマットは管理情報を書き換えるだけで、データが復元できる場合があります。復元不能にする作業とは言えません。

• イ × 誤り データを残す作業を、消去の作業と取り違えた

  バックアップはデータを別の場所に複製して残す作業です。データを復元できなくする作業ではありません。

• ウ × 誤り ファイルの整理を、消去の作業と取り違えた

  圧縮はデータの大きさを小さくする作業です。データを消すものではありません。

• エ ○ 正しい

  NIST は媒体上のデータを、論理的な手法でも最新の実験室の手法でも復元できないようにする作業を、media sanitization と定義しています。

正解：イ（人・技術・運用を組み合わせ、複数の層に防御を置く。）　当サイトの解答

• ア × 誤り 境界の防御が1つあれば十分だと考えた

  多層防御は1つの対策が破られても次の層で止める考え方です。境界1か所に頼るものではありません。

• イ ○ 正しい

  NIST は人・技術・運用を組み合わせて、組織の複数の層に障壁を置く戦略と説明しています。

• ウ × 誤り 同じ技術にそろえるほうが、層が増えて強くなると考えた

  同じ技術だけだと、1つの弱点で全部の層が破られます。NISTIR 8183 は多層防御を、異なる種類のセキュリティ技術を重ねることと説明しています。

• エ × 誤り 権限の制限を、防御の層に含めないと考えた

  権限を広く与えて監視だけに頼るのは層が1つしかない状態です。多層防御では権限の制限も層の一つです。

正解：ウ（暗号化と復号で、同じ秘密の鍵を使う。）　当サイトの解答

• ア × 誤り 公開鍵暗号の説明と取り違えた

  2つの異なる鍵を使うのは公開鍵暗号（非対称鍵暗号）です。

• イ × 誤り 暗号の強さはアルゴリズムを隠すことで決まると考えた

  共通鍵暗号は秘密の鍵を使います。鍵を使わない方式ではありません。

• ウ ○ 正しい

  NIST は共通鍵暗号を、ある操作とその逆の操作に同じ秘密鍵を使う暗号アルゴリズムと説明しています。

• エ × 誤り ハッシュ関数と暗号化を同じものだと考えた

  ハッシュは元に戻せない変換で、鍵で復号する暗号とは別のものです。

正解：ア（通信する2者の間に安全な通信路を提供する。）　当サイトの解答

• ア ○ 正しい

  RFC 8446 は TLS の主な目的を、通信する2者の間に安全な通信路を提供することと述べています。

• イ × 誤り TLS を経路制御のプロトコルだと考えた

  経路を決めるのはOSPF や BGP などのルーティングプロトコルです。

• ウ × 誤り TLS を DHCP の役割と取り違えた

  IP アドレスの自動割り当ては DHCP の役割です。

• エ × 誤り TLS を DNS の役割と取り違えた

  名前の変換は DNS の役割です。

正解：エ（認証（authentication））　当サイトの解答

• ア × 誤り 本人確認と、権限の付与を取り違えた

  認可は確認された利用者にどの操作を許すかを決める処理です。本人かどうかを確かめる処理ではありません。

• イ × 誤り 本人確認と、記録の確認を取り違えた

  監査は記録を調べて、決まりが守られたかを確かめる活動です。

• ウ × 誤り 本人確認と、あとで否定できなくする仕組みを取り違えた

  否認防止は行為をあとで否定できないようにする性質です。

• エ ○ 正しい

  FIPS 200 は認証を、利用者・プロセス・装置の身元を、資源へのアクセスを許す前提として確かめることと定義しています。

正解：イ（割り当てられた作業に必要な最小限の権限だけを与える。）　当サイトの解答

• ア × 誤り 作業のしやすさを優先し、権限を広く与えるべきだと考えた

  権限を広く与えると、誤操作や不正の影響が大きくなります。最小権限はその反対の考え方です。

• イ ○ 正しい

  NIST は割り当てられた作業を行うのに必要な最小限に、利用者の権限を制限することと説明しています。

• ウ × 誤り 権限は固定して扱うものだと考えた

  見直さずに使い続けると、作業が変わったあとも不要な権限が残ります。必要最小限に絞る原則に合いません。

• エ × 誤り 共有すれば管理が楽になると考えた

  共有アカウントは誰の操作かが分からなくなり、権限も絞れません。最小権限とは逆の運用です。

正解：ウ（一定の制約のもとで、評価者がシステムの防御機能を破ろうと試みる。）　当サイトの解答

• ア × 誤り 机上の確認だけで、侵入テストになると考えた

  設計書の確認は文書レビューです。ペネトレーションテストは実際に防御機能を破ろうと試みる点が違います。

• イ × 誤り テストを、コードの整形と取り違えた

  書式の自動修正は整形ツールの機能です。セキュリティ機能を試すテストではありません。

• ウ ○ 正しい

  NIST は特定の制約のもとで、評価者がシステムのセキュリティ機能を回避または破ろうと試みるテストの方法と定義しています。

• エ × 誤り テストを、バックアップと取り違えた

  データのコピーはバックアップです。セキュリティ機能を試すテストではありません。

正解：イ（情報システムの機密性・完全性・可用性を、実際に、または潜在的に脅かす出来事。）　当サイトの解答

• ア × 誤り 予定した変更も、インシデントに含めると考えた

  予定どおりの導入は通常の変更作業で、システムを脅かす出来事ではありません。

• イ ○ 正しい

  NIST の定義ではシステムやその情報の機密性・完全性・可用性を、実際に、または潜在的に脅かす出来事がインシデントです。

• ウ × 誤り 通常の運用作業も、インシデントに含めると考えた

  定期的なパスワード変更は通常の運用です。システムを脅かす出来事ではありません。

• エ × 誤り 通常の管理活動も、インシデントに含めると考えた

  年次の監査は通常の管理活動です。システムを脅かす出来事ではありません。

正解：エ（1人の利用者だけで、システムを悪用できるほどの権限を与えない。）　当サイトの解答

• ア × 誤り 手続きの効率を優先し、1人で完結させるべきだと考えた

  1人で申請から承認まで行えると、不正や誤りを他の人が止められません。職務の分離はそれを防ぐ考え方です。

• イ × 誤り 役割を減らすほうが管理しやすいと考えた

  役割を1人にまとめると、1人に権限が集中します。職務の分離は役割を分けて権限の集中を避けます。

• ウ × 誤り 自由度を高めるほうが良いと考えた

  承認者が決まっていないと、承認の統制がありません。職務の分離は役割を分けることです。

• エ ○ 正しい

  NIST SP 800-192 は1人の利用者に、単独でシステムを悪用できるほどの権限を与えない原則と説明しています。

正解：ア（プリペアドステートメント（パラメータ化したクエリ）を使う。）　当サイトの解答

• ア ○ 正しい

  OWASP は SQL の構造と値を分けて渡し、値をデータとして扱うプリペアドステートメントを、主な対策の最初に挙げています。

• イ × 誤り 文字列の連結でも安全に渡せると考えた

  値を SQL 文へ連結すると、入力が SQL の構文として解釈されるおそれがあります。OWASP は連結が保護を無効にすると述べています。

• ウ × 誤り 詳しいエラーが分かれば対策になると考えた

  エラーの表示は、値をデータとして扱う対策ではありません。SQL インジェクションの主な対策にはなりません。

• エ × 誤り 権限が強いほうが安全に動くと考えた

  接続用アカウントの権限が強いと、攻撃が成功したときの被害が大きくなります。対策にはなりません。