| English | 意味 |
|---|---|
| confidentiality/ˌkɒnfɪˌdenʃiˈæləti/ | 機密性 |
| integrity/ɪnˈteɡrɪti/ | 完全性 |
| availability/əˌveɪləˈbɪlɪti/ | 可用性 |
| risk/rɪsk/ | リスク |
| threat/θret/ | 脅威 |
| vulnerability/ˌvʌlnərəˈbɪlɪti/ | 脆弱性 |
| asset/ˈæset/ | 資産 |
| likelihood/ˈlaɪklihʊd/ | 可能性 |
| severity/səˈverɪti/ | 深刻度 |
| script kiddie/skrɪpt ˈkɪdi/ | スクリプト・キディ |
| hacktivist/ˈhæktɪvɪst/ | ハックティビスト |
| insider/ɪnˈsaɪdə/ | インサイダー |
| cyberterrorist/ˈsaɪbəterərɪst/ | サイバーテロリスト |
| reconnaissance/rɪˈkɒnɪsəns/ | 偵察 |
| lateral movement/ˈlætərəl ˈmuːvmənt/ | 横方向移動 |
| physical/ˈfɪzɪkl/ | 物理的 |
| technical/ˈteknɪkl/ | 技術的 |
| managerial/ˌmænəˈdʒɪərɪəl/ | 管理的 |
| preventative/prɪˈventətɪv/ | 予防的 |
| detective/dɪˈtektɪv/ | 検知型 |
| corrective/kəˈrektɪv/ | 是正型 |
| defense in depth/dɪˈfens ɪn depθ/ | 多層防御 |
CIA三要素
- 機密性: 承認された人物のみがデータを読めること。
- 完全性: データが正確であり、改変されていないこと。
- 可用性: 必要な時にデータが存在すること。
リスクとは何か
- 脅威が脆弱性を悪用して資産に危害を加えたときにリスクが発生する。
- 可能性と深刻度によって評価する。
- 4つの対応策: 回避、移転、軽減、または残余リスクを受容する。
この管理機能はどのCIA目標を守りますか？
暗号化は機密性を保護し、ハッシュは完全性を検証し、バックアップは可用性を復旧させます。
データを暗号化することは主にどのCIA目標を守りますか？
難易度 1/5 · 100 コイン + 今日初回完了時に小ボーナス付与
データを隠すこと＝機密性を保護します。
脅威が ____ を利用して資産に危害を加えるとき、リスクが存在します。
難易度 1/5 · 100 コイン + 今日初回完了時に小ボーナス付与
脆弱性とは、脅威が利用する欠陥のことです。
攻撃者の種類と手法
- スクリプト・キッズは他人のツールを再利用し、ハクティビストは特定の理念のために行動する。
- インサイダーは既にアクセス権限を持っており、サイバーテロリストはインフラを標的とする。
- 攻撃は段階的に進行する: 偵察、アクセス、定着、横方向移動、実行。
オンラインチュートリアルからコードをコピーし、他者のツールを再利用する攻撃者は…
難易度 1/5 · 100 コイン + 今日初回完了時に小ボーナス付与
低スキル ＋ 再利用されたツール ＝ スクリプト・キッド。
コントロールの種類と層
- 種類別: 物理的、技術的、管理的。
- 機能別: 予防的、検知的、是正的。
- 深度防御は多数のコントロールを重ねて配置するため、1つだけ突破されても十分ではない。
ディフェンス・イン・デプスとは、非常に強力な単一の統制手段を使用することを意味します。
難易度 1/5 · 100 コイン + 今日初回完了時に小ボーナス付与
それは1つではなく、多くの統制手段を積層することを意味します。
組織がリスク軽減後に抱え続ける残りのリスクは ____ リスクです。
難易度 1/5 · 100 コイン + 今日初回完了時に小ボーナス付与
残余リスクは、回避/移転/軽減の後に残ります。
各統制手段とその機能を対応させなさい。
難易度 2/5 · 140 コイン + 今日初回完了時に小ボーナス付与
機能 ＝ 統制手段が行うこと。
コントロールをグループ化する2つの方法を混同しない。種類は「どこで機能するか？」に答える（物理的/技術的/管理的）。機能は「何をするか？」に答える（予防/検知/是正）。カメラは種類としては物理的コントロールだが、機能としては検知的コントロールである。
病院は患者記録を暗号化して機密性を確保し、ファイルハッシュを用いて改ざんを検知して完全性を保ち、バックアップを取って停電時でもケアを継続できるよう可用性を担保します。1つのシステムでCIAの3目標をすべて達成します。
CIA三要素（機密性、完全性、可用性）はセキュリティの目標を表します。リスク = 脅威 × 脆弱性 × アセット で、可能性と深刻度に基づいて評価されます。対策は種類と機能でグループ化され、深度防御として層状に配置されます。