人員のセキュリティポリシーと手順

リスク管理の概念を理解して適用する

ソーシャルエンジニアリング

セキュリティ意識向上、教育、トレーニング プログラムを確立および維持する

1. 人は安全にとって重要な要素であることを理解する

2. 職務内容の重要性を理解する

3. 新しい従業員を雇用する場合の安全への影響を理解する

4. オンボーディングとオフボーディングを理解する

5. 最小特権の原則を理解する

6. 機密保持契約 (NDA) の必要性を理解する

7. 従業員の監督を理解する

8. 強制休暇の必要性を理解する

9. UBAとUEBAを理解する

10. 人事異動を理解する

11. 適切な終了戦略を説明する

12. サプライヤー、コンサルタント、請負業者の管理を理解する

13. ポリシーコンプライアンスを理解する

14. プライバシーが IT セキュリティ環境にどのように適合するかを理解する

15. 全体的なリスク管理を定義する能力

16. リスク分析と関連要素を理解する

17. 脅威を評価する方法を知る

18.定性的リスク分析を理解する

19.Delphi テクノロジーを理解する

20. 定量的なリスク分析を理解する

21. ジェスの露出係数 (EF) の概念

22. 単一損失期待値（SLE）の意味と計算方法を理解する

23. 年間発生率 (ARO) について

24. 年間損失期待値 (ALE) の意味と計算を理解する

25. 保護措置の評価式を理解する

26. リスクへの対処方法を理解する

27. 総リスク、参加リスク、管理ギャップについて説明する

28. コントロールの種類を理解する

29. コントロールの種類を理解する

30. セキュリティ制御評価 (SCA) を理解する

31. 安全衛生と測定を理解する

32. リスク報告を理解する

33. 継続的な改善の必要性を理解する

34. リスク成熟度モデルを理解する

35. レガシーリスクを理解する セキュリティリスク

36. リスクフレームワークを理解する

37. ソーシャルエンジニアリングを理解する

38. セキュリティ意識向上トレーニング、トレーニング、教育の実施方法を理解する

39. 安全リーダーを知る

40. ゲーミフィケーションを理解する

41. 定期的なコンテンツのレビューと有効性評価の必要性を理解する

1. 資産 - ビジネス プロセスまたはタスクで使用されるあらゆるもの 脅威 - 組織または特定の資産に悪影響または予期せぬ結果をもたらす可能性のある潜在的なイベント 脆弱性 - 資産の弱点、または保護手段の弱さまたは欠如 露出 - 脅威による資産損失の脆弱性があり、脆弱性が悪用される可能性がある、または悪用される可能性があります。 リスク - 脅威が脆弱性を悪用して資産に損害を与える可能性または確率、および引き起こされる可能性のある損害の重大度

2. セキュリティ会議では、資産価値の定義、脅威のリストの作成、侵害によって引き起こされる具体的な被害レベルの予測、脅威が年間に会社を混乱させる可能性のある回数の決定に重点が置かれます。これは何ですか： 定性的リスク評価 B Delphi テクノロジー C リスク回避 D 定量的なリスク評価

3. 有効なリスク定義は次のうちどれですか: A 確率、可能性、偶然の評価 B 脆弱性を排除するか、1 つ以上の特定の脅威から保護するもの C リスク = 脅威 * 脆弱性 D 公開された各インスタンス E 関連する脅威が存在する場合の脆弱性の存在

4. 会社は新しい Web アプリケーションをパブリック Web サーバーにインストールします。ハッカーは新しいコードを悪用し、システム上でホストされているデータ ファイルにアクセスしました。例証します: 固有のリスク B リスク マトリックス C 定性的評価 D 残留リスク

5. 組織は、SLA およびビジネス パートナー契約 (BPA) に署名する前に満たす必要があるいくつかの組織セキュリティ要件を定義した新しいビジネス パートナーを探しています。 1 つは、組織がリスク成熟度モデルの実装レベルを実証することを要求します。具体的には、共通または標準化されたリスク フレームワークを採用する必要があります。このレベルは以下に属します: 準備レベル B統合レベル C 定義レベル D 最適化レベル

6. リスク管理フレームワーク (RMF) は、情報セキュリティの分類、管理の選択、実装と評価、システムおよび一般的な管理の認可、および一連の 7 つのステップまたは段階を含む、セキュリティおよびプライバシーのリスク管理のための仕様を提供します。 RMF のどの段階で、組織の運営と資産、個人とその領域に対するリスクに基づいて、システムまたは一般的な管理が合理的であるかどうかを判断することに重点を置いていますか? A.分類 B.認可 C.評価 D.モニタリング

7. 次のオプションのうち、ソーシャル エンジニアリング攻撃として分類できるものはどれですか? (すべての行をまとめて選択します。) A ユーザーはワークステーションにログインし、階段の吹き抜けにある自動販売機でソーダを購入します。そのユーザーがワークステーションから離れている間、別の人が自分の机に座り、ローカル フォルダー内のすべてのファイルをネットワーク共有にコピーします。 B 危険な新しい病気がインターネット上で蔓延していることを警告する電子メールを受け取りました。このメッセージは、ウイルスの存在を示すため、ハード ドライブ上で特定のファイルを見つけて削除するようアドバイスします。 Web サイト C は、その製品およびサービスへの一時的なアクセスを無料で提供すると主張していますが、アクセス ソフトウェアをダウンロードする前に Web ブラウザやファイアウォールの構成を変更する必要があります。 秘書 D は、後で CEO と会う必要がある顧客を名乗る発信者から電話を受けました。発信者は、CEO に電話できるように CEO の個人の携帯電話番号を知りたいと考えています。

8. 通常、__ は、セキュリティ概念をチームに適用して統合する責任を決定する (または割り当てられる) チームのメンバーです。 仕事の活動において。 __多くの場合、セキュリティ担当者以外の担当者は、より多くのセキュリティ慣行をサポートし、採用するよう他の人に奨励する任務を負っています。 行動の責任。 A.最高情報セキュリティ責任者 B. 安全リーダー C.セーフティカーオペレーター D. 管理人