(ISC)2公式 CISSP CBKトレーニング

CISSP資格の上位資格である、「CISSP^® -行政情報セキュリティ認定資格　及び公式セミナー」をご希望の方はこちら

Security and Risk Management
(Security, Risk, Compliance, Law, Regulations, Business Continuity)

ここでは、すべての情報セキュリティ機能のベースとなる、機密性、可用性および 完全性という基本的なセキュリティ原則範囲を始めとして、さまざまな情報セキュ リティとリスクマネジメントのトピックス全般を扱っており、セキュリティガバ ナンスとコンプライアンス領域におけるこれらの概念を基に構築されています。 また、倫理学的考察全般、そして特に(ISC)2の倫理規定に関する知識を必要とし ます。情報セキュリティという枠組みのなかでポリシーおよびプロシージャを策 定し導入することができるかどうかについての知識や、情報および要件の収集、 ビジネスインパクト分析、目標復旧時点(RPO)といった事業継続計画のあらゆる 側面も含まれます。そして、リスクマネジメントの概念である、リスク分析、対 応策の選択と実施、リスク監視、報告、およびリスクの枠組み、脅威モデルの導 入とハードウェア、ソフトウェアおよびサービス契約の取得および管理へのリス クマネジメントの統合などの理解が必要です。そして、人員のセキュリティポリ シー領域についても問われ、セキュリティに関する教育、トレーニングおよび意 識向上プログラムを構築し維持できることが求められます。

Asset Security (Protecting Security of Assets)

ライフサイクル全体を通した情報の収集、処理および保護を取り上げます。情報 の分類および資産のサポートは、このドメインで取り上げるすべてのトピックス の基礎となっております。そして、情報、システム、およびビジネスプロセスに 関しての所有権は、分類と切り離して考えることはできず、資産のセキュリティ のドメインで取り上げられる2個目のトピックとなります。プライバシー保護も 非常に重要な要素となっていて、データオーナー、データ処理装置、データの残 留、および収集と保管の制限の概念などがあります。情報の収集と保管に関する 議論を行う場合は、データ保存を含んだ、適切なデータセキュリティ管理策につ いて詳細の知識を保有している事が求められます。最後にデータの保管、ラベリ ングおよび破棄などを含んだデータ処理要件についての理解が必要となります。

Security Engineering (Engineering and Management of Security)

セキュリティエンジニアリングは、悪意ある行為、人的エラー、ハードウェア障 害および自然災害により引き起こされる可能性のある脅威に対し、必要な機能を 提供し続ける情報システムおよび関連アーキテクチャの構築の実践と定義するこ とができます。このドメインでは、安全な設計原則を使用してセキュリティエン ジニアリングプロセスを実装および管理する能力について問われます。セキュリ ティモデルの基本概念を理解し、組織の要件およびセキュリティポリシーに基づ いて設計要件を策定し、これらの設計要件を満たす制御および対応策を選択する ことができなければなりません。セキュリティアーキテクチャ、設計およびソリュー ション要素における脆弱性を継続的に評価および軽減しなければならず、この領 域について詳細に理解をしていることが求められます。暗号化とは、情報の完全 性、機密性および信ぴょう性を確保するため情報を変更することにより、情報の 移行中も保存中も情報を保護するということで、セキュリティエンジニアリング のドメインで詳細に取り上げています。一般的な暗号化の概念、暗号化のライフ サイクル、暗号化システム、公開鍵インフラストラクチャ、暗号化キー管理実務、 デジタル署名、およびデジタル著作権管理についての理解が必要となります。最 後に、事業所および施設の設計および物理的セキュリティへの安全な設計原則の 適用などへの理解も必要となります。

Communications and Network Security (Designing and Protecting Network Security)

ここでは、私設および公設通信ネットワーク双方を介して送信される情報の機密 性、完全性および可用性を維持するのに使用される、ネットワークアーキテクチャ、 通信方法、配送プロトコル、制御デバイス、およびセキュリティ対策を網羅して います。ネットワークトポロジー、IPアドレス設定、ネットワークのセグメンテー ション、スイッチングとルーティング、無線ネットワーク利用、OSIとTCPモデル およびTCP/IPプロトコルスイートなど、ネットワークの基本を十分に理解してい ることを示すことが求められます。かつ、安全なネットワーク通信に関連して、 暗号化についても問われます。また、ネットワークデバイスの保護という見出し の下に、さまざまなトピックスも含まれていますので、スイッチ、ルーターおよ び無線アクセスポイントといったネットワーク制御デバイスを安全に操作および 保守する知識と能力についての知識も問われます。また、さまざまな伝送媒体に 元々備わっているセキュリティについて熟知していなければなりません。ネット ワークアクセスコントロール、エンドポイントセキュリティ、およびコンテンツ 配信ネットワークについても取り上げます。データ、音声、リモートアクセス、 マルチメディアコラボレーションおよび仮想化ネットワークなど多くの適用を促 す、幅広い技術を使用して安全な通信チャネルを設計し実装できることが求めら れます。そして、ネットワーク攻撃のベクトルの知識や、これらの攻撃を防いだ り軽減したりできるかについての理解も必要となります。

Identity and Access Management (Controlling Access and Managing Identity)

ここでは、人間と情報システム、異種情報システム間、さらには情報システムの 個々のコンポーネント間のやりとりに使用される、アイデンティティとアクセス のプロビジョニングと管理を扱います。システムや情報に不正にアクセスするた めにアイデンティティまたはアクセス制御システムを危険にさらすことは、デー タの機密性に関するほぼすべての攻撃の目標にもなるため、これは情報セキュリ ティプロフェッショナルが相当な時間をかけなければならない領域です。ユーザー、 システムおよびサービスの特定と承認に関する知識が必要となり、具体的にはID 管理システム、単一要素および多要素認証、説明責任、セッション管理、登録と 確認、フェデレーテッドID管理、および信用管理システムについての知識保有を 求めています。さらに、サードパーティのクラウドベースおよびオンプレミスID サービスの統合についても問われます。そして、ロールベース、ルールベース、 強制および任意アクセス制御に基づくものを含め、承認メカニズムの実装および 管理ができることが求められます。最後に、アクセス制御システムをターゲット とした攻撃の防止と軽減、およびID管理のライフサイクルも含まれます。

Security Assessment and Testing (Designing, Performing, and Analyzing Security Testing)

ここでは、アーキテクチャの問題、設計上の欠陥、構成エラー、ハードウェアと ソフトウェアの脆弱性、コーディングエラー、および情報システムの能力に影響 を及ぼす可能性のあるその他の弱点が原因となるリスクを特定および軽減して、 意図された機能を安全に提供するため、さまざまなツールや手法を用いて、情報 資産および関連するインフラストラクチャの評価に関しての知識が求められます。 評価およびテスト戦略を検証し、さまざまな手法を用いてこれらの戦略を実行す ることができなければなりません。脆弱性評価、ペネトレーションテスト、代理 トランザクション、コードレビューとテスト、悪用ケース、およびインターフェー ステストに関する知識の保有が求められます。これら評価には、セキュリティポ リシーとプロシージャの検証、ディザスタリカバリおよび事業継続計画も含まれ ます。最後に、テスト結果について分析し報告することができるか、さらに、社 内監査および第三者監査を実施または円滑に進めることができるかどうかも理解 している必要があります。

Security Operations (Foundational Concepts, Investigations, Incident Management, Disaster Recovery)

ここでは、エンタープライズコンピューティングシステムの運用に関する情報セ キュリティ概念およびベストプラクティスの適用に関するさまざまなトピックス が含まれています。証拠の収集と取り扱い、文書化と報告、捜査手法とデジタル フォレンジックといったさまざまな調査概念を含めたフォレンジックを指揮する、 あるいはサポートするための知識が必要です。運用上、刑事上、民事上、および 規制上の観点からも、調査要件を理解しなければなりません。効果的なロギング および監視の仕組みは、不可欠なセキュリティ機能です。そこについては、侵入 検知と防止、セキュリティ情報とイベント監視システム、およびデータ漏洩防止 などが含まれます。そして、リソースのプロビジョニングおよびこれらリソース のライフサイクルを通した管理と保護についても取り上げますが、セキュリティ の運用が前提としているのはこれらリソースの保護です。ファイアウォール、侵 入検知システム、アプリケーションホワイトリスティング、マルウェア対策、ハ ニーポットとハニーネットおよびサンドボクシングといった保護制御を運用し維 持すると同時に、サードパーティのセキュリティ契約およびサービスを管理する 能力、そしてパッチ、脆弱性および変更管理についても理解をすることが求めら れます。インシデントレスポンスとリカバリ、ディザスタリカバリ、および事業 継続の運用面での理解が必要となります。物理的セキュリティおよび個人の安全 についてのトピックスで締めくくります。

Software Development Security (Understanding, Applying, and Enforcing Software Security)

実稼働および開発ソフトウェア環境へのセキュリティ概念およびベストプラクティ スの適用について扱います。ソフトウェアに対するセキュリティ制御を評価し執 行するために、ソフトウェア開発のライフサイクルにおいてセキュリティを理解 し適用できなければなりません。その中で、ソフトウェア開発方法、成熟度モデ ル、オペレーションと保守および変更管理についての理解を必須とし、同時に統 合化された製品開発チームの必要性も理解しないといけません。また、ソフトウェ ア開発環境においてセキュリティ制御を執行することもできなければならないの で、ソフトウェア開発ツール、ソースコードの弱点と脆弱性、ソースコード開発 に関する構成管理、コードリポジトリのセキュリティおよびアプリケーションプ ログラミングインターフェースのセキュリティなどについての知識取得も求めま す。かつ、変更管理に関する監査とロギング、ソフトウェアセキュリティに関す るリスク分析と軽減および取得したソフトウェアのセキュリティインパクトを含 めたソフトウェアセキュリティ制御評価の領域についても理解が求められます。