security-interview-questions

情報源

• QUIZ: https://quizlet.com/231268221/general-information-security-questions-flash-cards/
• SANSチートシート: https://www.sans.org/blog/the-ultimate-list-of-sans-cheat-sheets/
• Offensive Security（OSCP）: https://411hall.github.io/OSCP-Preparation/
  • https://medium.com/@falconspy/oscp-exam-attempt-1-1893df5a0a00
• VulnHub - ラボ: https://www.vulnhub.com/

情報セキュリティニュースの情報源：

• さまざまな場所。主にSecurity Weekly Podcast（Paul Assadorian）、google、Krebs On Security（時々）、およびdanielmiessler.comのDaniel Miessler。

基本概念

1. 情報セキュリティとは何か、またそれはどのように達成されるのか？

   • 情報セキュリティとは、印刷物、電子媒体、その他あらゆる形式の機密情報、個人情報、センシティブな情報またはデータを、不正なアクセス、使用、誤用、開示、破壊、変更、または妨害から保護するために設計・実装されるプロセスと方法論を指す。

2. 情報セキュリティの主要な原則は何か？

   • CIAトライアド。CIAは機密性（Confidentiality）、完全性（Integrity）、可用性（Availability）を意味し、これらは情報セキュリティの3つの主要な目的である。
   • 認証（Authentication）と否認防止（Non-repudiation）

3. ITセキュリティにおける否認防止とは何か？

   • 否認防止とは、誰かが何かの正当性を否定できないという保証である。
   • 否認防止は情報セキュリティで広く使用される法的概念であり、データの出自とデータの完全性の証明を提供するサービスを指す。
   • すべてのサービスやプロセスが、データの完全性（署名など）と出自の証明を提供すべきであるという概念。データ、プロセス、送信の完全性を保証するため、情報セキュリティの側面である。

4. 情報セキュリティとデータ可用性の関係は何か？

   • 情報セキュリティは、データを保護し、認証され承認されたユーザーのみが許可されたデータにアクセスできることを確実にするために使用される戦術とプロセスを包含する。情報セキュリティは承認されたユーザーのアクセスを妨げることはできないが、論理的および物理的コントロールを使用して、不正アクセスや盗難からデータを保護しなければならない。

5. セキュリティポリシーとは何か、なぜそれが必要なのか？

   • ユーザーがいつ、どのように、なぜ情報システムにアクセスし対話するかを管理する文書。ユーザーに自身の役割と責任についての合理的な期待を提供し、手順上のアクションの指針としても機能する。

6. 論理的セキュリティと物理的セキュリティの違いは何か？両方の例を挙げられますか？

   • 人を保護することには、物理的セキュリティと論理的セキュリティの組み合わせが関わる。物理的セキュリティは、許可された個人のみを建物に入れることで人々の安全を確保する。論理的セキュリティは、不正アクセスからコンピュータとデータを保護する。
   • 論理的セキュリティは、ユーザー識別情報、パスワード、認証、生体認証を実装してユーザーアクセスを抑制することにより、コンピュータソフトウェアを保護する。物理的セキュリティは、フェンス、警報装置、カメラ、警備員、電子アクセス制御、侵入検知、管理アクセス制御を設置することで、攻撃者が建物に侵入するのを防ぎ抑制する。論理的セキュリティと物理的セキュリティの違いは、論理的セキュリティがコンピュータシステムへのアクセスを保護するのに対し、物理的セキュリティは施設と施設内に存在するすべてのものを保護することである。

7. 許容可能なリスクレベルは存在するか？

   • リスクレベルとは、ビジネスが最適な水準で運営できるようにしながら、可能な限り多くのリスクを軽減するものである。新しいテクノロジー、プロセス、脅威環境が変化するにつれて、リスクの割り当ては常に再評価されるべきである。

8. リスクをどのように測定するか？情報セキュリティリスクを測定する具体的な指標の例を挙げられますか？

   • リスクは、脅威の可能性の値に影響の値を掛け合わせて計算され、その結果に基づいてリスクは高、中、低に分類される。 ISO標準27005（情報セキュリティリスクマネジメント - ISRM）

9. リスクのトレードオフ（例：リスク対コスト）の例を挙げられますか？

10. 企業のデータセキュリティを脅かす最も一般的な攻撃の種類は何か？

    • インサイダー脅威
    • ランサムウェア
    • データ外部送信を可能にするマルウェア
    • スクリプト攻撃（XSS、クロスサイトフォージェリ）
    • インジェクション攻撃（SQL/JavaScript）

11. 脅威と脆弱性の違いは何か？

    • 脆弱性とは、脅威が悪用する可能性のあるシステム、サイト、またはプロセスの弱点である。脅威とは、弱点を利用して不正なアクションを実行したり、情報システムへの不正アクセスを獲得したりするあらゆる主体またはプロセスである。

12. 一般的なセキュリティ脆弱性の例を挙げられますか？

    • クロスサイトスクリプティング
    • SQLインジェクション
    • クロスサイトフォージェリ
    • バッファオーバーフロー
    • 不十分な暗号化/暗号化なし
    • 誤設定されたファイアウォールルール
    • 不十分なアクセス制御/Active Directoryのドメインルールポリシー

13. ISO/IEC 27002などのセキュリティ管理フレームワークに精通していますか？

    • ISO/IEC 270002
    • NIST SP 800-53: NISTサイバーセキュリティフレームワーク
    • SOC 2/3
    • PCI-DSS
    • HIPAA
    • NERC-CIP
    • FFIEC

14. ソフトウェア開発ライフサイクルの各フェーズにおける情報セキュリティの役割について簡単に説明できますか？

    • 要件収集
      • セキュリティ要件
      • フェーズゲートの設定
      • リスク評価
    • 設計
      • セキュリティの観点からの設計要件の特定
      • アーキテクチャおよび設計レビュー
      • 脅威モデリング
    • コーディング
      • コーディングのベストプラクティス
      • 静的解析の実行
    • テスト
      • 脆弱性評価
      • ファジング
    • デプロイ
      • サーバー構成レビュー
      • ネットワーク構成レビュー

15. 企業におけるセキュリティオペレーションの役割を説明できますか？

    • SOCは、組織化された高度なスキルを持つチームであり、その使命は、テクノロジーと精確な手順の両方を用いてサイバーセキュリティインシデントを防止、検知、分析、対応しながら、組織のサイバーセキュリティ態勢を監視し改善することである。

16. インシデント管理とは何か？

    • ITインシデント管理は、ITサービス管理（ITSM）の一分野であり、ITチームが障害発生後にサービスを可能な限り迅速に通常状態に戻し、ビジネスへの悪影響をできるだけ少なくすることを目指すものである。
    • セキュリティインシデント管理は、従業員とユーザーの両方が過度なダウンタイムに見舞われないように、インシデントの迅速な解決に重点を置く。セキュリティの脅威やインシデントをリアルタイムで特定、管理、記録、分析することにより、セキュリティインシデント管理はITインフラストラクチャ内のあらゆるセキュリティ問題に対する堅牢で包括的なビューを提供する。

17. DNSモニタリングが重要なのはなぜか？

    • DNSはエンドユーザーをインターネットに接続する上で重要な役割を果たす。クライアントデバイスによってドメインに対して行われる各接続はDNSログに記録される。クライアントデバイスとローカルリゾルバ間のDNSトラフィックを検査することで、フォレンジック分析に役立つ情報を明らかにできるだけでなく、ネットワーク上の悪意のあるアクティビティ/接続を発見できる。例えば：
      • ボットネット
      • DDOS攻撃の検知
      • 悪意のあるドメイン
      • ダイナミックドメイン

18. セキュリティコントロールとは何か？

    • セキュリティリスクを回避、検知、対抗、または最小化するための保護策または対策。

19. セキュリティコントロールにはどのような種類があるか？

    • 論理的セキュリティコントロール
    • 物理的セキュリティコントロール
    • 手順的セキュリティコントロール

20. 情報ライフサイクルについて説明できますか？各フェーズでどのように情報セキュリティを確保しますか？

    • 情報のライフサイクル全体を通じて情報を適切に管理し、情報から完全な利用と利益を得るための方法である。計画（Plan）、取得（Obtain）、保存/共有（Store/Share）、維持（Maintain）、適用（Apply）、廃棄（Dispose）を含む。

21. 情報セキュリティガバナンスとは何か？

    • ITセキュリティガバナンスとは、組織がITセキュリティを指揮し統制するためのシステムである（ISO 38500に基づく）。
    • ガバナンスは説明責任の枠組みを規定し、リスクが適切に軽減されていることを確実にするための監督を提供する。一方、マネジメントはリスクを軽減するためのコントロールが実装されていることを確実にする。

22. あなたの職業上の価値観は何か？情報セキュリティ分野において職業倫理が重要なのはなぜか？

    • 大きな力には大きな責任が伴う。セキュリティ専門家は組織のITインフラストラクチャへの例外的なレベルのアクセス権を与えられており、しばしば非常に信頼されている。セキュリティ専門家が倫理的かつ誠実に行動し、ビジネスとそのステークホルダーを保護することは非常に重要である。

セキュリティ監査とテスト

23. ITセキュリティ監査とは何か？

    • その根幹において、ITセキュリティ監査には2つの異なる評価が含まれる。手動評価は、内部または外部のITセキュリティ監査人が従業員へのインタビュー、アクセス制御のレビュー、ハードウェアへの物理的アクセスの分析、脆弱性スキャンの実行を行う際に行われる。これらのレビューは最低でも年1回実施されるべきである。ただし、一部の組織ではより頻繁に実施することを好む。
    • 一部の基準はIT業界に広く適用されるが、多くはよりセクター固有であり、例えば医療機関や金融機関に直接関連する。以下は、現在存在する最も議論されているITセキュリティ基準のいくつかの短いリストである。
      • ISOコンプライアンス：国際標準化機構（ISO）は、品質、信頼性、安全性を確保するために設計された一連のガイドラインを開発し発行している。ISO/IEC 27000ファミリーの標準は、情報資産のセキュリティ維持に焦点を当てているため、システム管理者にとって最も関連性の高い標準の一部である。ISO/IEC 27001は、情報セキュリティマネジメントシステムの要件で知られている。
      • HIPAAセキュリティルール：HIPAAセキュリティルールは、組織が患者の電子個人健康情報をどのように保護すべきかについての具体的なガイドラインを概説している。
      • PCI DSSコンプライアンス：PCI DSSコンプライアンス基準は、何らかの顧客支払いを扱う企業に直接適用される。この基準は、取引のたびにクレジットカード情報が確実に保護されるようにする役割を担う要件と考えてよい。
      • SOXコンプライアンス：SOX法は、提案者であるポール・サーバンズ上院議員（D-MD）とマイケル・G・オックスリー下院議員（R-OOH-4）にちなんで正式にはサーベンス・オックスリー法として知られ、大きく報道されたエンロン不祥事を受けて2002年に成立した。その目的は、すべての公開企業に毎年正確で信頼性の高い財務開示を要求することにより、投資家を保護することであった。

24. 情報セキュリティをどのようにテストするか？

    • ペネトレーションテスト：この種のテストは、悪意のあるハッカーからの攻撃をシミュレートする。このテストでは、外部からのハッキング試行に対する潜在的な脆弱性をチェックするために、特定のシステムの分析を行う。
    • リスク評価：このテストでは、組織内で観察されたセキュリティリスクの分析を行う。

25. ブラックボックスとホワイトボックスのペネトレーションテストの違いは何か？

    • ブラックボックスエンゲージメントでは、コンサルタントは内部情報にアクセスできず、クライアントのアプリケーションやネットワークへの内部アクセスも許可されない。コンサルタントの役割は、先へ進むために必要な機密知識を得るためのすべての偵察を実行することであり、これにより可能な限り典型的な攻撃者に近い立場に置かれる。このタイプのテストは最も現実的であるが、非常に多くの時間を必要とし、ネットワークまたはアプリケーションの内部に存在する脆弱性を見落とす可能性が最も高い。
    • ホワイトボックステストでは、セキュリティコンサルタントがアプリケーションとシステムへの完全なオープンアクセスを持つことができる。これにより、コンサルタントはソースコードを閲覧し、ネットワークへの高レベルの特権アカウントを付与される。ホワイトボックステストの目的は、論理的脆弱性、潜在的なセキュリティ曝露、セキュリティ誤設定、質の低い開発コード、防御策の欠如などのさまざまな領域における潜在的な弱点を特定することである。このタイプの評価は、内部と外部の両方の脆弱性が、典型的な攻撃者には利用できない「舞台裏」の視点から評価されるため、より包括的である。

26. 脆弱性スキャンとは何か？

    • 脆弱性スキャンは、セキュリティホールを特定するために、コンピュータまたはネットワーク上の悪用される可能性のあるポイントを検査することである。脆弱性スキャンは、コンピュータ、ネットワーク、通信機器におけるシステムの弱点を検出・分類し、対策の有効性を予測する。

27. セキュリティ評価計画（セキュリティテスト計画）には何が記載されるか？

    • セキュリティ評価計画は、評価の目的と、システムセキュリティ計画で特定・記述された実装済みコントロールに基づいて、評価対象のコントロールとコントロール拡張を文書化する。セキュリティ評価計画は評価の範囲を定義し、特に完全な評価または部分的な評価のどちらが実施されるか、また評価が新規または大幅に変更されたシステムに関連する初期の事前認可活動を支援することを意図しているのか、運用システムに使用される継続的評価を支援することを意図しているのかを示す。セキュリティ評価計画はまた、各コントロールに使用する手順—通常は特別刊行物800-53Aまたは利用可能な評価ケースから引き出され、組織固有またはシステム固有の要件を満たすために必要に応じて調整される—を記述し、評価方法と対象物の選択、および割り当てられた深さと範囲の属性を含む。

アクセス制御

28. 認証と認可の違いは何か？

    • 認証は自分自身のアイデンティティを確認することを意味し、認可はシステムへのアクセスを許可することを意味する。簡単に言えば、認証は「あなたが誰であるか」を検証するプロセスであり、認可は「あなたが何にアクセスできるか」を検証するプロセスである。

29. 認証に使用できる情報の種類は何か？

    • タイプ1 – あなたが知っているもの – パスワード、PIN、組み合わせ、コードワード、秘密のハンドシェイクなどを含む。覚えていて、必要に応じて入力したり、発声したり、実行したり、その他の方法で思い出したりできるものはすべてこのカテゴリに該当する。
    • タイプ2 – あなたが持っているもの – 鍵、スマートフォン、スマートカード、USBドライブ、トークンデバイスなどの物理的なオブジェクトであるすべてのアイテムを含む。（トークンデバイスは、時間ベースのPINを生成するか、サーバーから発行されたチャレンジ番号から応答を計算できる。）
    • タイプ3 – あなた自身であるもの – 指紋、手のひらスキャン、顔認識、網膜スキャン、虹彩スキャン、音声認証など、検証のために提示できる人体のあらゆる部分を含む。

30. ロールベースアクセス制御とは何か？

    • ロールベースアクセス制御（RBAC）は、組織内での役割に基づいてユーザーに権限を割り当てるという考え方を指す。きめ細かな制御を提供し、ユーザーに個別に権限を割り当てるよりもエラーが発生しにくい、シンプルで管理しやすいアクセス管理アプローチを提供する。

31. 「最小権限」という用語は何を意味するか？

    • 最小権限の原則は、必要な仕事を実行するのに十分なアクセス権のみを許可することで機能する。IT環境において、最小権限の原則を遵守することで、攻撃者が低レベルのユーザーアカウント、デバイス、またはアプリケーションを侵害して、重要なシステムや機密データへのアクセスを獲得するリスクを低減できる。

32. 二要素認証とは何か？特別なハードウェアを必要とするか？

    • 二要素認証（2FAとも呼ばれる）は、多要素認証の一種、またはサブセットである。... 2ステップ検証または2ステップ認証は、ユーザーが知っているもの（パスワード）と、ユーザーが持っているものまたはユーザー自身であるもの以外の第二の要素を利用して、ユーザーの主張するアイデンティティを確認する方法である。

セキュリティアーキテクチャ

33. オープンスタンダードがセキュリティソリューションにとって重要なのはなぜか？

34. 相反する要件を持つさまざまなステークホルダーからの要求のバランスをどのように取りますか？

35. 多層セキュリティアーキテクチャとは何か？それは良いアプローチか？なぜか？

    • 多層セキュリティ（多層防御とも呼ばれる）は、リソースとデータを保護するために複数の緩和セキュリティコントロールを組み合わせる手法を表す。

36. 重複する情報ドメインにまたがるセキュリティ対策を設計したことはありますか？そのソリューションの概要を簡単に説明していただけますか？

37. 設計がヒューマンエラーを予期していることをどのように保証しますか？

38. 設計が規制コンプライアンスを達成していることをどのように保証しますか？

39. ケイパビリティベースのセキュリティとは何か？このパターンを設計に組み込んだことはありますか？どのように？

    • ケイパビリティベースのセキュリティとは、最小権限の原則に従ってユーザープログラムが互いに直接ケイパビリティを共有するように設計する原則と、そのようなトランザクションを効率的かつ安全にするために必要なオペレーティングシステムインフラストラクチャを指す。

40. セキュリティアーキテクチャ要件の例をいくつか挙げていただけますか？

    • https://www.isaca.org/resources/isaca-journal/issues/2017/volume-4/enterprise-security-architecturea-top-down-approach

41. セキュリティアーキテクチャ要件は通常誰が所有し、どのステークホルダーが貢献するのか？

42. SOAがもたらす特別なセキュリティ上の課題は何か？

    • サービス指向アーキテクチャ（SOA）は、ネットワークシステムを運用する新しい方法であり、すべての新しいテクノロジーと同様に、それなりの課題が伴う。特に難しいのは、サービス指向システムのセキュリティ確保という課題である。このシステムは意図的に分散化されているため、データはあらゆる方向に流れ、常に保護される必要がある。さらに、アクセス制御を実装するには、まずどこかで定義され、システムの残りの部分がそのルールを認識して尊重する必要がある。このようなシステムには多くのリソースがあるため、ユーザーが新しいリソースにアクセスしようとするたびに認証を要求することは煩雑になる。

43. ユニファイドコミュニケーションがもたらすセキュリティ上の課題は何か？

44. 商用オフザシェルフ（COTS）ソリューションとカスタムソリューションでは、セキュリティアーキテクチャに対して異なるアプローチを取りますか？

45. SaaSコンポーネントを含むセキュリティソリューションを設計したことはありますか？どのような課題に直面しましたか？

46. ステークホルダーが特定されたセキュリティリスクを受け入れることを選択し、それが心配だったプロジェクトに取り組んだことはありますか？その状況にどのように対処しましたか？

ネットワーク

47. ファイアウォールとは何か？

    • ファイアウォールは、出入りするネットワークトラフィックを監視し、定義された一連のセキュリティルールに基づいて特定のトラフィックを許可またはブロックするかを決定するネットワークセキュリティデバイスである。

48. ファイアウォールの他に、ネットワーク境界を強制するために使用されるデバイスは何か？

49. 情報セキュリティにおけるネットワーク境界の役割は何か？

    • 境界保護とは、「情報システムの外部境界における通信を監視・制御し、悪意のある通信およびその他の不正な通信を防止・検出すること」である。保護は、ゲートウェイ、ルーター、ファイアウォール、ガード、暗号化トンネルを使用することで達成される。

50. 侵入検知システム（IDS）は何をするのか？どのように行うのか？

    • 侵入検知システム（IDS）は、ネットワーク上の悪意のあるアクティビティやポリシー違反を監視するデバイスまたはソフトウェアアプリケーションである。悪意のあるアクティビティや違反は通常、セキュリティ情報およびイベント管理システムを使用して中央に報告または収集される。

51. ハニーポットとは何か？どのようなタイプの攻撃を防御するのか？

    • ハニーポットは、サイバー攻撃の可能性が高い標的を模倣することを目的としたコンピュータまたはコンピュータシステムである。攻撃を検出したり、正当な標的から攻撃をそらしたりするために使用できる。また、サイバー犯罪者がどのように活動するかについての情報を得るためにも使用できる。

52. クラウドコンピューティングインフラストラクチャにデプロイされた情報とサービスを保護するために使用されるテクノロジーとアプローチは何か？53. クラウドコンピューティング環境では、どのような情報セキュリティの課題に直面しますか?

53. パケットフィルタリングはどのように機能しますか?

    • パケットフィルタリングファイアウォールは、ファイアウォールを通過する各パケットを検査し、設定した一連のルールに従ってパケットをテストします。パケットフィルタは、各Transmission Control Protocol/Internet Protocol (TCP/IP)パケットに含まれる送信元および宛先のIPアドレスとポートアドレスを検査することで機能します。

54. IPマルチキャストの概要を教えていただけますか?

    • IPマルチキャストは、インターネットプロトコル(IP)データグラムを、単一の送信で関心のある受信者のグループに送信する方法です。これはマルチキャストのIP固有の形式であり、ストリーミングメディアやその他のネットワークアプリケーションで使用されます。IPv4およびIPv6の特別に予約されたマルチキャストアドレスブロックを使用します。

55. パケットフィルタリングファイアウォールとアプリケーション層ファイアウォールの違いを説明していただけますか?

    • パケットフィルタリングは、送受信パケットを監視し、送信元および宛先のインターネットプロトコル(IP)アドレス、プロトコル、ポートに基づいてパケットの通過または停止を許可することにより、ネットワークアクセスを制御するために使用されるファイアウォール技術です。
    • コンピューティングにおいて、ステートフルファイアウォール(ステートフルパケットインスペクション(SPI)またはステートフルインスペクションを実行するファイアウォール)は、通過するネットワーク接続(TCPストリーム、UDP通信など)の状態を追跡するファイアウォールです。
    • ウェブアプリケーションファイアウォール(WAF)は、HTTP通信に一連のルールを適用するアプライアンス、サーバープラグイン、またはフィルターです。一般的に、これらのルールはクロスサイトスクリプティング(XSS)やSQLインジェクションなどの一般的な攻撃を対象としています。ルールをアプリケーションに合わせてカスタマイズすることで、多くの攻撃を特定してブロックできます。

56. OSIモデルの層は何ですか?

    • OSIの7つの層
      • レイヤー7 - アプリケーション層.
      • レイヤー6 - プレゼンテーション層.
      • レイヤー5 - セッション層.
      • レイヤー4 - トランスポート層.
      • レイヤー3 - ネットワーク層.
      • レイヤー2 - データリンク層.
      • レイヤー1 - 物理層.

57. traceroute は、通信の断絶箇所を突き止めるのにどのように役立ちますか?

    • Tracerouteは、パケットのIPヘッダー内のTTLフィールドを使用して、パケットがネットワークを通過した「ホップ」数を決定します。アナリストは、パケットがドロップされたかどうか、送信が遅延した場所を判断でき、DNSポイズニング/スプーフィングを示唆する可能性のある異常なルートを特定できる可能性があります。

セキュリティリーダーシップ

58. ソリューションアーキテクトが安全なソリューションを開発することをどのように確保しますか?

59. ソリューションアーキテクトはITセキュリティに関してどのようなトレーニングを受ける必要がありますか? 開発者はどうですか?

60. ITセキュリティイニシアチブの価値を経営幹部にどのように説明しますか?

61. 進化する脅威に対して、ソリューションが引き続き回復力を維持することをどのように確保しますか?

62. 過度に複雑または不要なセキュリティメカニズムの実装をどのように回避しますか?

63. 情報セキュリティのガバナンスに関与したことはありますか? あなたの役割は何でしたか? どのような成果を上げましたか?

64. 当組織の情報セキュリティに重大な影響を与える法律や規制について説明していただけますか?

65. 情報セキュリティとプライバシー法の関係は何ですか?

66. セキュリティレベル管理とは何ですか?

67. セキュリティ管理が透過的かつ測定可能であることをどのように確保しますか?

68. チーフセキュリティオフィサー(CSO)の典型的な責任について概要を説明していただけますか?

69. 注視している情報セキュリティの新たなトレンドの例を挙げていただけますか?

経験

70. インシデント対応計画を作成したことはありますか?

71. インシデント調査の支援に関与したことはありますか? あなたの役割は何でしたか? 結果はどうなりましたか?

72. リスク分析と評価を実施したことはありますか? どのように進めましたか? どのステークホルダーを関与させましたか?

73. 脅威評価を実施したことはありますか? どのような要素を考慮しましたか?

74. 脆弱性評価を実施したことはありますか? どのタイプの脆弱性が最も特定しにくいですか?

75. 脆弱性評価の文脈において、脆弱性が悪用される確率をどのように計算しますか?

    • Common Vulnerability Scoring System (CVSS)は、コンピュータシステムのセキュリティ脆弱性の重大度を評価するための、無料でオープンな業界標準です。CVSSは脆弱性に重大度スコアを割り当てようとするもので、対応者は脅威に応じて対応とリソースの優先順位を付けることができます。
    • Exploit Prediction Scoring System (EPSS)

76. リスクを軽減するための管理策を特定し実装した例を挙げていただけますか? その管理策をどのように評価しましたか?

77. テクノロジーの最新情報をどのように把握していますか? 例えば、新しい情報セキュリティの脅威にどのように追従していますか?

暗号技術

78. SSLプロトコルはどのように機能しますか?

79. 共通鍵暗号方式と公開鍵暗号方式の違いは何ですか?

    • 共通鍵暗号: 暗号化と復号化の両方に1つの鍵を使用します。
    • 非対称暗号: 公開鍵と秘密鍵の2つの鍵を使用します。2つの方法で使用できます: 1つは機密性のため、もう1つは完全性のためです。

80. 公開鍵暗号がどのように機能するかの概要を教えていただけますか?

81. 暗号化標準であるAESとDESの違いは何ですか?

82. 暗号化におけるデジタル証明書の役割は何ですか?

83. 送信メールを暗号化したい組織には、どのような暗号化メカニズムを推奨しますか?

84. IPsecの概要を教えていただけますか? その目的は何ですか?

85. IPsecはSSLの必要性を置き換えるものですか?

セキュリティインシデント管理

86. ITILインシデント管理の構成要素は何ですか?

87. 当組織が大規模なセキュリティインシデントを経験した場合、インシデントを管理するためにどのような手順を踏むべきですか?

88. インシデントマネージャーの責任について説明していただけますか?

脅威

89. あなたの意見では、当社のような組織が直面する情報セキュリティ脅威のトップ5は何ですか?

90. 中間者攻撃とは何ですか?

91. クロスサイトスクリプティングの例を挙げていただけますか?

92. SQLインジェクションとは何ですか? どのように防止されますか?

93. バッファオーバーフローとは何ですか?

94. クリックジャッキングとは何ですか?

脆弱性

95. 安全でない直接オブジェクト参照とは何ですか? なぜ問題なのでしょうか?

96. リダイレクトとフォワードを検証することが重要なのはなぜですか?

97. 情報ストレージレベルにおける一般的なセキュリティ脆弱性にはどのようなものがありますか?

98. トランスポートレベルにおける一般的なセキュリティ脆弱性にはどのようなものがありますか?

99. 不適切なエラーハンドリングは、どのようにセキュリティ脆弱性を露呈させ得るのでしょうか? どのようにですか?

物理セキュリティ統合

100. 物理セキュリティ統合の例をいくつか挙げていただけますか?

101. ソーシャルエンジニアリングとは何ですか? どのくらい一般的ですか?

102. オフィス環境をどのようにセキュリティ保護しますか? データセンターはどうですか?