【日本語】初心者から学べるCISSP講座：CBK Domain 2

• 情報 (Information)とは、データが意味を持つ形に変換されたものです。

• 資産 (Asset)とは、組織にとって価値があり、保護が必要なものです。

• ラベリングをする際には、組織内のデータをリストアップした後、各データを評価します。そして、評価結果に基づいて、適切な分類ラベルを決定します。

• 決定されたラベルをデータに適用し、文書化します。

• データの分類が適切に維持されるよう、定期的なレビューと更新を行います。

• オブジェクトラベルは、機密、秘密、極秘があり、無許可で開示された際の影響度によって評価されます。

• ラベリングには、機密レベルに分類するというだけではなく、そのオブジェクトを使用するものがどの機密レベルに属するのかを示す必要もあります。

• ラベリングの表記、もしくはそのラベリングレベルは、基本的に変更されることはありません。

• クリアランスとは、特定のレベルの情報を提供するに値するか、信頼できるかどうかの正式な決定です。

• クリアランスのプロセスにおいても、個人への権利の侵害は、原則認められません。

• 定期的にクリアランスを見直し、継続的な適格性を確認します。

• 所有権を明確にすることで責任の所在も明確になります。

• 情報の所有権とは、組織内の情報に対する責任と管理権限を持つ個人や部門を指します。

• 資産の所有権とは、組織内の物理的およびデジタル資産に対する責任と管理権限を持つ個人や部門を指します。

• インベントリを管理することで、不要な資産を特定し、組織の資源を効率よく活用できます。

• IT資産のインベントリ管理システムでは、端末から自動的にアプリケーションの種別とその各バージョンを取集し、管理します。

• データオーナーやシステムオーナーは、現場のデータやシステムに対する責任者です。

• データ管理者は、現場の作業者です。

• ユーザーは、サービスの利用者です。

• 一般データ保護規則（GDPR）において、データを扱う側である組織をデータコントローラー、実際にデータを処理している組織をデータプロセッサーといいます。

• 市場調査、アンケート、顧客の問い合わせフォーム、センサーや機器からのデータログ、官公庁資料、情報照会用API経由、ソーシャルメディア、Cookie情報によるデータ収集を行います。

• データの所在は適切に管理する必要がありますが、ユーザーに対してはその物理的な場所の区分を意識させないように工夫されます。

• ただし、利便性を目的に法的要件を超えないように注意ください。

• データの正確性、一貫性、最新の状態を維持するための継続的な管理をしましょう。

• バックアップは、地理的に実運用環境とは別の場所に保管しておく処置がなされます。

• 即時分析できるデータベースと、長期保存し監査できるデータベースの2タイプのストレージを運用すると経済的に良くなるケースもあります。

• データのソフトウェア的な削除は、残留している可能性があります。

• SSDのデータ削除では、ATAセキュア削除など特殊な方法が必要です。

• 単純なディスクの破壊が経済的に優位なケースもある。

• 破棄手順書を整え、破棄を確実なものにしておきましょう。

• 暗号化することも破棄手法として有効です。

• ゴミ箱は社内と社外の共有スペースです。

• 製品・サービスの販売が終了するがサポートは継続して受けられるまでの期間をEOSと言い、サポートも完全に終了する期間をEOLと言います。

• システム全体の腐敗化を管理し、示せるようにしましょう。

• データの状態には、 保存データ・転送データ・使用データの3種類があります。

• スタンダードでは、これらのデータの状態での保護策を定義します。

• 何のスタンダードを採用するかをスコーピングと呼びます。

• どのように組織に取り込んでいくかをテーラリングと呼びます。

• 組織のセキュリティポリシーを整備するときや情報システムを作るときには業界標準に則るべきです。

• CCはISO/IECの国際認証基準です。

• デジタル著作権管理（DRM）は、デジタルコンテンツの海賊行為を防止し、著作物の著作権保護を提供する仕組みです。

• データ損失防止（DLP）は、組織から重要データが出ていかないようにする仕組みです。

• クラウド・アクセス・セキュリティ・ブローカー（CASB）は、企業がクラウドサービスを安全に利用するためのセキュリティ対策を提供するソフトウェアやサービスです。

• すべての組織で個人情報を守る必要があります。

• 仮名化とは個人情報を別の文字に置き換えること。

• 匿名化とは、特定の個人を再識別することができないようにすること。

• 別の文字に置き換えたからと言って、個人情報が保護されているわけではありません。紐づけられた関係性を把握したうえで保護しなければなりません。

• 分からなくても正答率が高いと思われる答えにフォーカスしていく力

• 各ドメインのポイントを押さえる

• 企業目標を達成するための達成するセキュリティ。

• 安全な状態などない。

• すべてはお金で説明。

• マネージャーとしての判断です。

お疲れさまでした！

英語版の証書もこちらからダウンロード可能です。