CISSP【ドメイン:3】セキュリティ アーキテクチャおよびエンジニア試験の質問

認定情報システムセキュリティプロフェッショナル (CISSP) 認定は、情報セキュリティの分野で最も権威のある認定の 1 つです。 CISSP は、International Information System Security Certification Consortium (ISC)² によって提供されており、組織をサイバー脅威から保護するためのサイバーセキュリティ プログラムの設計、実装、管理における専門家の専門知識を検証します。

CISSP 認定資格を得るには、受験者は CISSP 共通知識体系 (CBK) の 8 つの領域のうち少なくとも 2 つで、少なくとも 5 年間の有給労働の累積経験を持っている必要があります。 8 つのドメインには、セキュリティとリスク管理、資産セキュリティ、セキュリティ エンジニアリング、通信とネットワーク セキュリティ、アイデンティティとアクセス管理、セキュリティ評価とテスト、セキュリティ オペレーション、およびソフトウェア開発セキュリティが含まれます。受験者は、4 年制大学の学位または承認されたサイバーセキュリティ認定資格を取得することもできます。

認定情報システムセキュリティプロフェッショナル (CISSP) 試験情報

• 試験時間 : 3時間

• アイテム数 : 100 - 150

• アイテム形式 : 複数の選択肢と高度な革新的な項目

• 合格点 : 1000点中700点

• 試験言語の可用性 : 中国語、英語、ドイツ語、日本語、スペイン語

• 検査機関 : ISC2公認PPCおよびPVTCセレクトピアソンVUEテストセンター

ドメイン 3: セキュリティ アーキテクチャとエンジニアリング

3.1 - 安全な設計原則を使用してエンジニアリングプロセスを調査、実装、管理する

• 脅威モデリング

• 最小権限

• 多層防御

• 安全なデフォルト

• 安全に失敗する

• 職務の分離 (SoD)

• シンプルかつ小さく

• ゼロトラストか信頼するが検証する

• プライバシーを考慮した設計

• 責任の共有

• セキュアアクセスサービスエッジ

3.2 - セキュリティ モデルの基本概念を理解する (例: Biba、Star Model、Bell-LaPadula)

3.3 - システムのセキュリティ要件に基づいてコントロールを選択する

3.4 - 情報システム (IS) のセキュリティ機能 (例: メモリ保護、Trusted Platform Module (TPM)、暗号化/復号化) を理解する

3.5 - セキュリティアーキテクチャ、設計、ソリューション要素の脆弱性を評価し、軽減する

• クライアントベースのシステム

• サーバーベースのシステム

• データベースシステム

• 暗号システム

• 産業用制御システム (ICS)

• クラウドベースのシステム（例：サービスとしてのソフトウェア（SaaS）、サービスとしてのインフラストラクチャ（IaaS）、サービスとしてのプラットフォーム（PaaS））

• 分散システム

• モノのインターネット (IoT)

• マイクロサービス（例：アプリケーション プログラミング インターフェイス (API)）

• コンテナ化

• サーバーレス

• 組み込みシステム

• 高性能コンピューティングシステム

• エッジコンピューティングシステム

• 仮想化システム

3.6 - 暗号化ソリューションの選択と決定

• 暗号化ライフサイクル（例：キー、アルゴリズムの選択）

• 暗号化方式（対称、非対称、楕円曲線、量子など）

• 公開鍵基盤（PKI）（例：量子鍵配送）

3.7 - 暗号解読攻撃の方法を理解する

• 力ずくで

• 暗号文のみ

• 既知の平文

• 周波数分析

• 選択された暗号文

• 実装攻撃

• サイドチャネル

• フォールト注入

• タイミング

• 中間者攻撃 (MITM)

• ハッシュを渡す

• ケルベロスの悪用

• ランサムウェア

3.8 - サイトと施設の設計にセキュリティ原則を適用する

3.9 - サイトと施設のセキュリティ管理の設計

• 配線室/中間配線設備

• サーバールーム/データセンター

• メディア保管施設

• 証拠保管

• 立ち入り禁止区域および作業区域のセキュリティ

• ユーティリティおよび暖房、換気、空調 (HVAC)

• 環境問題（例：自然災害、人為的）

• 火災予防、検知、消火

• 電源（例：冗長、バックアップ）

3.10 - 情報システムのライフサイクルを管理する

• 利害関係者のニーズと要件

• 要件分析

• 建築設計

• 開発・実装

• 統合

• 検証と検証

• 移行/展開

• 運用と保守/維持

• 廃止・処分

認定情報システムセキュリティプロフェッショナル (CISSP) ドメイン 3: セキュリティ アーキテクチャおよびエンジニアリングは、CISSP 認定の重要な要素であり、組織内のセキュリティ システムの設計、実装、管理を担当する専門家向けに設計されています。この分野はセキュリティ アーキテクチャの原則に焦点を当て、情報システムの設計とエンジニアリングにセキュリティを統合することの重要性を強調します。安全なシステムの開発をガイドするセキュリティ モデル、フレームワーク、方法論など、幅広いトピックを取り上げており、セキュリティが後付けではなくシステム アーキテクチャの基礎要素であることを保証します。

この分野では、受験者は、安全な設計の原則、暗号化の役割、安全なコーディング実践の重要性など、さまざまなセキュリティ エンジニアリングの概念を探求します。このカリキュラムでは、物理的、技術的、管理的管理を含むさまざまな種類のセキュリティ管理と、リスクを軽減するためにそれらを効果的に実装する方法について詳しく説明します。さらに、セキュリティの評価とテストの重要性についても取り上げ、セキュリティ対策の有効性を評価し、業界標準と規制への準拠を確保する方法についての洞察を提供します。この包括的なアプローチにより、専門家は、進化する脅威に耐えることができる堅牢なセキュリティ アーキテクチャを作成するために必要な知識とスキルを身に付けることができます。

CISSP ドメイン 3 では、組織内にセキュリティの文化を育むために、IT チーム、経営陣、外部パートナーなどのさまざまな関係者間のコラボレーションの重要性も強調しています。セキュリティ アーキテクチャとビジネス目標の間の相互作用を理解することで、専門家はセキュリティへの取り組みを組織の目標に合わせて調整し、セキュリティ対策が業務効率を妨げるのではなく確実にサポートできるようにすることができます。このドメインは、受験者に CISSP 試験の準備をさせるだけでなく、セキュリティ アーキテクチャとエンジニアリングにおいて指導的な役割を担う権限を与え、サイバーセキュリティの絶え間なく変化する状況において受験者を組織にとって貴重な資産とします。

結論として、認定情報システムセキュリティプロフェッショナル (CISSP) 認定は、サイバーセキュリティ プログラムの設計、実装、管理における専門家の専門知識を証明する非常に評判の高い認定です。 CISSP 専門家は、組織をサイバー脅威から保護するために必要な知識とスキルを備えており、今日のサイバーセキュリティ環境において高い需要があります。情報セキュリティの重要性が高まる中、CISSP 認定資格は、この分野でのキャリアアップを目指す人にとって非常に貴重な資産となります。