【日本語】初心者から学べるCISSP講座：CBK Domain 8

• プログラミング言語でソースコードを開発し、機械語に変換して実行します。 

• CPUごとの仕様の違いを吸収するために、バイトコードが利用される場合もあります。 

• 高機能性と利便性を追求した結果、第4世代言語が誕生しました。

• Runtime とは、プログラムが実行されるときの環境やその動作中の状態を指す用語 です。

• コンパイル言語とは、コンパイラが事前に機械語に変換し、OS上で直接実行される形式です。

• インタプリタ言語とは、ソースコードを実行時に1行ずつ解釈 しながら実行する形式です。

• プログラミングは、トップダウン方式とボトムアップ方式の2つに大きく分けられます。 

• 処理をマニュアルのように順序立てて記述する言語は手続き型言語と呼ばれ、抽象的なレベルでオブジェクト同士の関係性を定義する言語はオブジェクト指向型言語といいます。

• オブジェクト指向では、要素をもとにオブジェクトの実体を定義するため、抽象的な概念を活用します。

• CASE（Computer-Aided Software Engineering） とは、ソフトウェア開発を効率化するためのツールや技術の総称 です。開発の各工程を支援し、生産性の向上や品質の向上を目的としています。

• 優れたプログラムは結合度は低く、凝縮度は高い。

• 商用製品として提供されているシステムが、必ずしも自社の要件に適合するとは限りません。 

• 「信頼性の高いソフトウェア」とされている製品であっても、セキュリティに関する事項は自社で慎重に確認する必要があります。 

• オープンソースとは、ソースコードが公開されており、誰でも無料で変更や再配布ができるソフトウェアを指します。 

• クローズドソース（商用ソフトウェアなど）は、ソースコードが非公開であり、外部に漏れないことでセキュリティを保護する仕組みを取っています。 

• GPLやBSDは、オープンソースソフトウェア向けの代表的なライセンスの一つです。

• マネージドサービスとは、サーバー運用、ソフトウェア管理、セキュリティなど、企業のIT環境に関連する業務をアウトソーシングできるサービスを指します。

• システム運用の負担を軽減できる反面、システム技術のナレッジが蓄積しにくい側面もあります。

• テーブルの正規化は、第1正規化、第2正規化、第3正規化の3つのステップで行われます。 

• 正規化を行うことで、データの不整合が発生するリスクを軽減できます。 

• 複数のテーブルの検索結果を仮想的なテーブルとして表示する機能を「ビュー」と呼びます。

• データベースでは、操作内容に応じて使用する言語の種類が異なります。 

• 一般的な流れとしては、アプリ用のデータベースを作成し、アカウントを登録して適切な権限を付与した後、アプリからデータを操作するという手順で進められます。

• システムの機能を追加すると、それに伴い運用の負荷も増大する傾向があります。 

• ソフトウェアの開発段階から運用を考慮することが重要です。

• DevOpsやDevSecOpsは、専用のアプリケーションを活用して実現しましょう。

• CI（継続的インテグレーション）とCD（継続的デリバリー ）は、ソフトウェア開発の効率化と品質向上を目的としたDevOpsの重要なプロセス です。

• バージョン管理システム（Version Control System, VCS） とは、ソースコードやファイルの変更履歴を記録・管理するシステム です。

• Gitは、コードの履歴を管理し、チーム開発を円滑にするバージョン管理ツールです。 そのリポジトリ管理プラットフォームとしてGitHubが広く利用されており、GitHub Actionsを活用することでCI/CDプロセスの自動化が可能 です。

• ソフトウェアコンポーネント分析とは、ソフトウェア開発で使用されるサードパーティ製のコンポーネント、主にライブラリやオープンソースコードを特定して管理するプロセスを指します。

• ソフトウェア部品表（SBOM）を作成し、ライセンス状態の確認や脆弱性情報の取得に利用します。

• IAST（Interactive Application Security Testing） とは、アプリケーションの実行中にリアルタイムでセキュリティ脆弱性を検出するテスト手法 です。SAST（静的解析）やDAST（動的解析）の特長を組み合わせ、より高精度なセキュリティテストを提供します。

• ソフトウェアは、すべての機能が無料で利用できる「フリーウェア」、一部の機能が無料で利用できる「シェアウェア」、全機能が有料の「機能限定ソフト」に分類されます。 

• ソフトウェアを利用する際には、事前に利用規約などに同意する必要があります。

• プロジェクトは、限られた期間内で遂行される活動です。 

• 企業も目標を達成するために、業務をプロジェクト単位に細分化して進めることが一般的です。 

• 各プロジェクトは、プロジェクト管理者とメンバーで構成され、役割分担のもとで進行します。 

• ガントチャートやWBSを活用することで、精度の高いスケジュール管理が可能になります。

• PERTを活用することで、プロジェクトのクリティカルパスを特定することができます。 

• ソフトウェア開発ライフサイクル（SDLC）は、要件定義、設計、試験、導入、運用から構成される一連のプロセスです。

• 各工程の定義を理解することで、成果物や作業内容の認識を統一し、スムーズな開発を実現できます。

• 各工程ごとに適したセキュリティ対策が求められます。

• ウォーターフォールモデルは、後戻りせずに順序通りに進むシンプルな意思決定を提供します。

• SASHIMIモデルでは、各工程が重なり合い、一部の後戻りを許容する柔軟な進め方が可能です。

• アジャイルのマニュフェストは、「プロセスやツールよりも、個人と相互作用」、「包括的なドキュメントよりも、動作するソフトウエア」、「契約交渉よりも、顧客との協調」、「計画の順守よりも、変化への対応」です。

• 要件は、プロジェクトへの理解が深まると変わっていくことがある。

• 試作品を作り、認識を合わせながら進めていくプロトタイプの開発が有効です。

• テスト駆動開発は、開発前にテスト項目を洗い出す手法です。

• コードの明確さとシンプルさは、品質と要件変更への柔軟性、開発期間の短縮につながる。

• ソフトウェアCMMはソフトウェアの開発プロセスのレベルを計るものです。

• ソフトウェア保証成熟度モデルは、開発プロセス改善のフレームワークです。

• 適した開発プロセスは、組織ごとに異なります。

• ADR（Architectural Decision Record） とは、ソフトウェアやシステムのアーキテクチャに関する意思決定を記録する文書 です。プロジェクトの経緯を明確にし、後から決定の背景を振り返るために活用されます。

• OWASPとは、ソフトウェアやWebアプリケーションのセキュリティ向上を目的とするコミュニティです。

• OWASP Top10とは、Webアプリケーションのセキュリティに関する最も重大な10のリスクをランキングです。

• ソフトウェア開発ライフサイクルに組み込むことを検討すると良い。

• バッファーオーバーフローは、想定を超えるサイズの入力値が与えられることで発生します。

• ファイルの確認と更新の間など、処理の隙間を狙った攻撃にも注意が必要です。

• Webアプリはセッション管理を行いながらサービスを提供するため、セッションの乗っ取り（セッションハイジャック）にも警戒が必要です。

• バリデーションチェック、認証とセッション管理、エラーハンドリング は、セキュリティ対策として特に注意が必要です。

• API設計は、サービス間での利便性に直結しますので、初期設計から慎重に実施しましょう。

• APIに対しては、認可や検証、トラフィック監視等の機能が必要です。

• APIを利用する際には、OAuthの仕組みを取り入れることでも実現できます。

• 分からなくても正答率が高いと思われる答えにフォーカスしていく力

• 各ドメインのポイントを押さえる

• 企業目標を達成するための達成するセキュリティ。

• 安全な状態などない。

• すべてはお金で説明。

• マネージャーとしての判断です。

お疲れさまでした！

英語版の証書もこちらからダウンロード可能です。