- 情報システムのダウンタイムなどの不活動は可用性報告書に記述される。これらの報告書にはコンピュータ・システムが、ユーザー或いは他のプロセスで利用可能であった時間帯が提供される。
- QoSの主要な機能は、業務アプリケーションとエンドユーザーに優先順位をつけ、必要となるトラフィックに専用の大域幅を割り当てることによって、ネットワークの性能を最適化することである。
- ネットワークへの不法なソフトウェアの組み込みを識別する最も効果的な方法は、ハードディスクの定期的な検査である。
- 1つの場所内でクラスタ構成をとると、ネットワーク全体が自然災害あるいは他の破壊的な出来事に対し脆弱となる。
- コントロール・オプションが使用するシステム構成ファイルの調査によって、どのユーザーが特権アクセス可能か明らかになる。
- システム・ダウンタイムのログは、コンピュータ予防保守プログラムの有効性と適切性に関する情報を提供する。
- オフライン印刷のためのスプールは、管理されない限り、追加のコピーの印刷を可能にしてしまう。
- 保存期限は、ファイルが設定日を過ぎる前に上書きされないことを保証する。
- プロトコル・アナライザーは、ネットワーク診断ツールとして、診断ツールが接続されているリンク上を移動するパケットのネットワーク情報を監視・記録する。
- 1回限りの書込可能ディスクは、上書き保存することが出来ない。このため、このディスク上に複製されたシステム・ログとオリジナルのシステム・ログの比較結果の違いが、侵入者により会謬された結果として発見できる。
- 災害対策条項が欠けていることが主要なビジネス・リスクである。このような条項を契約に盛り込むことは、サービス提供者に対する優位性を委託する組織に与えることになるだろう。
- システムの堅牢化とは、特権を持たないユーザーが権限を得て特権命令を実行しマシン全体のコントロールを奪ってOSの完全性を危険にさらすことを阻止するために、システムを最も安全なように設定することを意味する。
- 適切にコントロールされない限り、フラッシュ・メモリは誰もがどの内容でも簡単にコピーできる手段を提供してしまう。
- 正規化とは、冗長性を最小化する関係データベース（DB）の設計あるいは最適化プロセスのことである。従って、非正規化は冗長性を増加させるだろう。機能的な理由で非正規化が助言されることはしばしばある。
- ウェブと電子メールのフィルタリング・ツールに投資する主要な理由は、ウィルス、スパム、チェインメール、私的ネットサーフィン、私的電子メールに関するリスクをこれらのツールが著しく下げるからである。
- リファレンシャルインテグリティはあるテーブルの外部キーが空値（null）または他のテーブルのプライマリキーになっていることを保証する。テーブル内のすべてのタプルは参照／外部キーを持っているので、他のテーブル内に対応するタプルが必ずあるはずである。言い換えれば、元のテーブルにはすべての外部キーが存在する。もしこの条件が満足されない場合、宙に浮いたタプル（dangling tuple）となる。
- 同時発生処理のコントロールは、２つの更新処理が同じデータ項目を同時に更新しようとした際に発生しうる、データの完全性に関する問題を防止する。
- テーブルの参照／連携チェックの実行が、テーブル連携エラー（データベースの内容の完全性と正確性）の検出に役立ち、故にデータベースの完全性を最も保証する。
- 構成管理は、どのようなネットワークにおいても、重要な要素の１つとして広く受け入れられている。なぜなら、構成管理は、ネットワークがどのように内部的および外部的に機能するかを決定するからである。
- 巡回冗長チェック（CRC）は、伝送データのブロックをチェックすることができる。ワークステーションはCRCを伝送しデータとともに伝送する。受信側のワークステーションは、CRCを算出し受け取ったCRCと比較する。両者が一致すればブロックにはエラーがないと見なされる。この時、（パリティーエラーやエコーチェックの場合のように）複数のエラーも検出できる。一般的に、CRCはすべての単一ビットエラーと複数ビットエラーを検知することができる。
- アプリケーション・ゲートウェイはサーキット・ゲートウェイに似ているが、各サービスに対する特定のプロキシを持っている。ウェブサービスを取り扱うために、アプリケーション・ゲートウェイはHTTPプロキシを持っており、外部と内部の仲介役として機能するが、HTTPに特化して機能する。このことは、パケットIPアドレス（第三層）と送信先ポート（この場合、第四層の80番ポート）をチェックするだけでなく、すべてのHTTPコマンド（第五層と第七層）をチェックするということを意味している。従ってアプリケーション・ゲートウェイは他のファイアーウォールに比べて、より詳細な（きめ細かな）方法で稼動する。
- ネットワークパフォーマンスの最も重要な局面は、ビジネスを行うための接続可能性の継続的な信頼を保証することである。よってネットワークモニタリングが最も貢献できる特性は可用性である。
- 情報システム監査人は、コード比較のような定期的な第三者レビューによって本番のソースコードとオブジェクト・コードの変更を発見する手続きを推奨すべきである。
- パッチをインストールすることの影響を直ちに評価し、評価結果に基づいてインストールすべきである。
- ソースコードとオブジェクト・コードの日付とタイムスタンプ・レビューは、コンパイルされたソースコードが本番オブジェクト・コードと一致することを確認することになる。
- 変更管理手続きは、テスト環境から本番環境へのアプリケーション転送をコントロールするために情報システム経営者によって確立される。
- 最適なコントロールは、本番コントロール・グループにソースプログラムを本番ライブラリにコピーさせ、その後にプログラムをコンパイルさせることにより提供される。
- データベース管理者（DBA）のユーザーIDを使った場合、通常は、すべての変更がログに記録されるように設定されるべきである。変更を記録したログを取得することで、変更をレビューすることが可能となる。データベース管理者のユーザIDを使った場合にログに記録されないと、一度このIDを取得された場合に、コントロール無しにデータベースが変更されることを許してしまうことになる。
- 組織における変更管理手続きの準拠性を確認するために、最も効果的な方法は、コード比較を実施して変更箇所を洗い出し、さらにそれらがすべて承認を受けているかを実証することである。
- あるデータベースのアプリケーションをレビューしている情報システム監査人が現在のコンフィギュレーションが最初に設計された構造と一致しないことを発見した場合、この修正が適切に承認されていたかを確認すべきである。
- システム・ログファイルのレビューが、本番ライブラリにおける不当な行為に関する情報を提供する唯一の手がかりとなる。
- 弱点に関する false negative reporting では、ネットワーク内のコントロールの弱点が識別されない。従って取り組まれないかもしれないことを意味し、ネットワークが攻撃されやすい状態のままとなる。
- サイバー・アタックのリスク管理における最初の行動は、重要な情報資源（資産）の識別と分類である。
- サービスを停止してセキュリティ関連修正プログラムを導入することが、ワームの拡散を防止する最も安全なやり方である。
- ファイヤーウォールシステムは、認可されていないネットワーク間アクセスを組織が防止することを可能にする主要ツールである。
- DHCPを導入した場合、ポートへの物理的アクセスが与えられていれば、誰でも内部ネットワークに接続可能である。
- WAP(Wireless application protocol)ゲートウェイでは、顧客からの暗号化メッセージをインターネット等に送信および受信するために複合化しなければならない。それゆえ、もしそのゲートウェイが危険にさらされたとすると、すべてのメッセージは見られてしまう。
- スイッチは、ネットワークセキュリティでは最も低レベルに位置し、パケットを仕向け先の装置に送信する。このことにより、他の装置に向けられたパケットを、ある装置が取得する能力を減少させる。フィルターは仕向け先のアドレスに基づき、ネットワークトラフィックの基本的な分離を可能にする。
- ネットワーク監視装置は、既知あるいは未知のユーザーによる活動の検査に用いられ、クライアントのアドレスを特定することができ、権限のないアクセスの証跡を検出させることができる。
- システム・パラメータをレビューする場合、セキュリティと性能の要件を満たすように設定されていることに関心を持つべきである。
- 損失・遅延・データの重複を防ぐための、リンク、ルーター、スイッチ等のネットワーク要素への接続の二重化によって冗長性を持たせることは、コンポーネント間の通信障害あるいは通信エラーのコントロールである。
- 非保護ツイストペア（UTP）での減衰は、およそ100mで発生する。
- 専用回線は、特定のユーザーあるいは組織のために分離して設定される。回線の共有や中間のエントリーポイントが生じないために、テレコミュニケーション・メッセージの傍受リスクや妨害リスクは低い。
- スクリーンド・サブネット・ファイヤーウォールが最も優れた防御を提供する。
- ニューラル・ネットワークは、膨大な入力変数の考慮が必要な問題に取り組むために利用することができる。ニューラル・ネットワークは、他の統計手法ではしばしば見落とされがちな関係やパターンを把握することができる。
- ファイヤーウォールの目的は、信頼できるネットワークを信頼できないネットワークから守ることである。従って、ファイヤーウォールの設置が必要となる場所は、外部接続している地点である。
- インテリジェント・ハブは、その他のポートは生かしておきながら、あるひとつのポートを使えなくすることができる。さらに、物理的なセキュリティもアクティブなポートを持つハブを適度に保護することができる。
- スタッキング・ハブを利用して端末接続が増加することが示す潜在的なリスクはパフォーマンスの劣化である。
- 市販のファイヤーウォールが破られる多くの状況では、その突破は基礎をなすオペレーティング・システムの脆弱性によって促進されている。システム上の全ての導入オプションを利用可能にすることは、脆弱性とつけ入るリスクをさらに増大させる。
- DNSは、主としてインターネット上でWebサイトのネーム/アドレスを解決するために利用される。
- CGIとは、ユーザーのリクエストをアプリケーション・プログラムに渡し、結果をユーザーに戻すためのWebサーバーにおける標準的手法である。
- 通信インターフェース段階は、ルート検証手続きが必要である。DEIやANSI X12は、トランザクション処理の際にアプリケーションが解釈しなければならない規格である。このトランザクション処理後、請求書を作成され、支払いが実行され、発想がなされる。
- ネットワーク・トポロジーをトレースする為にグラフィック・インターフェースは欠かすことができない。
- ファイヤーウォールの適切に更新され完璧なアクセス・リストを作成することは極めて難しいため、初期導入時には最も設定ミスをしやすい。
- LAN導入について適切にレビューを行うため、情報システム監査人は最初にネットワーク図を検証し、承認がなされていることを確認すべきである。
- スクリーンドサブネットファイヤーウォールは、非武装地帯（DMZ）としても利用されるが、２つのパケット・フィルタリング・ルータと１つの要塞ホストを利用する。分離した非武装地帯ネットワークを定めながら、ネットワークレベルとアプリケーションレベルの両方のセキュリティを支えるため、スクリーンドサブネットファイヤーウォール最も安全なファイヤーウォールシステムを提供する。
- アプリケーションゲートウェイ・ファイヤーウォールは、FTPのようなアプリケーションが企業ネットワークへ侵入する事を防ぐのに有効である。
- アプレットは通常、データベースアクセス、インタラクティブなwebページや他のユーザーとの通信機能を提供するwebブラウザ経由でwebサーバーからクライアントにダウンロードされるプログラムである。アプレットは、クライアントマシンからネットワーク上の他のマシンへの接続をオープンし、それらのマシンに対して、組織にとって最大の脅威を引き起こしビジネスの継続を中断させる、サービス停止（Dos）攻撃のような危害を加える。
- シンプルネットワークマネジメントプロトコル（SNMP）は、ネットワーク機器の監視や制御および構成管理やパフォーマンス管理の方法を提供する。
- JavaアプレットおよびActiveXコントロールの受け入れは、確立された信頼関係に基づくべきである。コントロールは、出所を知ることとアプレットの受け入れを許可することにのみ提供される。
- ファームウェアベースのファイヤーウォール製品は、より性能の高いサーバーに移行できない。
- 光ファイバーケーブルは銅線、撚（より）対線、同軸ケーブルより安全性が高いことが証明されている。
- ファイヤーウォールのパラメーターの設定の調査が、実際の設定とセキュリティ・ポリシーの比較に役立つ論拠を提供し、また監査証拠書類を提供する。
- 異機種混合環境下で、異なるプラットフォームを通してどのようにデータがアクセスされているかを判別するために、情報システム監査人は最初にアプリケーション・サービスをレビューすべきである。
- 組織がヘルプデスクをアウトソースしている場合、SLAに含めるべき最適な指標はインシデントの一次解決率である。
- 広域ネットワーク（WAN）の使用状況のレビューにおいて、拠点間をまたがって、マスターと待機系のデータベースを同期接続している一本の通信回線の通信料が、ピーク時には回線容量の96%であることが判明した場合、一時的なサービス低下にのみ繋がるものかどうか判別するため、分析が必要である。
- StrageAreaNetwork(SAN)上のストレージ上の情報ストアへのアクセスは、直接接続しているストレージに匹敵する。これはディスク上のデータの各ブロックが直接アドレスされることを意味する。ストレージ装置のボリュームは、ローカルのものと同様に扱われ、パフォーマンスが最適化される。
- eコマース環境における通信障害リスクを最小化するために使用すべき最も有効な手段は非同期通信モード専用回線である。
- トランザクションは最新のファイルに適用されるが、再起動手順は以前のバージョンを参照している場合、バージョン使用のコントロールが推奨される。
- コード署名は、実行コードが署名後に変更されていないことのみを保証する。
- 原子性（Atomicity）は、すべてのトランザクションが実行されたか、またはまったく実行されていないことを保証する。
- リバースプロキシは主に、物理的および論理的な内部構造を外部アクセスから隠すために設計されている。完全なURLやURIを部分的または完全に書き換えることができ、どの内部サーバーやDMZサーバーが要求データを提供しているかは開示されない。
- クラスタリングによって、二つ以上のサーバを一つとして稼動させ、一方が障害となったときに他方に切り替えるようにでき、分散環境におけるサーバー障害の影響を最小化できる。
- ハードウェア保守スケジュールはベンダーが提供する使用に対して妥当性を確認すべきである。
- ライブラリ・コントロール・ソフトウェアの主な目的は、プログラム変更が承認されているとの保証を与えることである。
- プロキシを基盤とするファイヤーウォールは、サーバーまたはアプリケーションとクライアントとの間の媒介（プロキシ）として機能する。クライアントとの接続を作り、サーバーと別の接続を開き、特定のフィルターと規則に基づいてこの２つの接続間の全てのトラフィックを分析する。
- アドレス解決プロトコル（ARP）は、IPアドレスとハードウェア・アドレスの間をマッピングする動的アドレスを与える。
- サービスレベル管理（SLM）の目的は、顧客がサービスを要求する方法で、それらのサービスを交渉・文章化・管理（即ち提供及び監視）することである。
- 情報システム監査人の観点から、サービス提供者管理の監査の主要な目的は、要求されている／されたサービスが、受け入れ可能且つ継続的、さらに契約上の合意に一致した方法で提供されている／されていたかどうかを決定することである。
- 交渉と合意がなされた約束（即ちサービス・レベル契約（SLA））を常に果たすことができることは重要である。
- 情報システム監査人は、パッチ管理手順を含めた変更管理プロセスをレビューし、そのプロセスが十分なコントロールを持つことを検証し、それに応じて提案をしなければならない。
- リレーショナル・データベースの保守中に、トランザクションテーブル(子)の外部キーのいくつかの値が壊された。その結果関連するトランザクションの詳細はもはやマスター・データ（親）と関連しない可能性があり、これらのトランザクションが処理された場合にエラーを生じる。
- 参照整合性を持つリレーショナル・データベースにおいては、外部キーの使用が、主キーの変更や記録の削除等のデータベース内の孤立関係を生じる事象を防止する。
- 事故後レビューは事故の原因と対応の両方を調べる。レビューから学んだ教訓は内部統制の改善に使用することができる。
- パラメーター設定は、組織のワークロード及びコントロール環境に適しているべきである。
- 組織のコンピューター・セキュリティ・インシデント・レスポンス・チーム（CSIRT）は、ユーザーがセキュリティ・リスクを理解するのを助けるため、ユーザーに最近の脅威やセキュリティ指針、セキュリティ更新等を配布すべきである。しかしこれは、ユーザーがこの情報を用いて直接または間接に攻撃をしかけるリスクを生じる。
タグ
このページへのコメント
勉強になります。 CISA - C3ってのは、ないでしょうか？