CISSP【ドメイン:3】セキュリティ アーキテクチャおよびエンジニア試験の質問

CISSP ドメイン 3: セキュリティ アーキテクチャとエンジニアリング - 徹底解説

認定情報システムセキュリティプロフェッショナル (CISSP) 認定は、サイバーセキュリティ分野で最も権威のある資格の一つです。この認定は、組織をサイバー脅威から守るためのサイバーセキュリティ プログラムの設計、実装、管理における専門家の専門知識を証明します。CISSP ドメイン 3 は、その中でも特に重要な領域であり、組織内のセキュリティ システムの設計、実装、管理に焦点を当てています。

CISSP ドメイン 3 の重要性

CISSP ドメイン 3: セキュリティ アーキテクチャとエンジニアリングは、セキュリティ アーキテクチャの原則に焦点を当て、情報システムの設計とエンジニアリングにセキュリティを統合することの重要性を強調します。このドメインは、セキュリティが後付けではなくシステム アーキテクチャの基礎要素であることを保証します。

ドメイン 3 で学ぶ主要なトピック

このドメインでは、以下の重要なトピックを網羅的に学習します。

• 安全な設計原則:

  • 脅威モデリング: システムの潜在的な脅威を特定し、分析するプロセス。
  • 最小権限: ユーザーやプロセスに必要な最小限のアクセス権のみを付与する原則。
  • 多層防御: 複数のセキュリティ対策を組み合わせ、単一の対策が破られた場合でも保護を維持する戦略。
  • 安全なデフォルト: システムやアプリケーションの初期設定を安全な状態に設定する。
  • 職務の分離 (SoD): 重要なタスクを複数の担当者に割り当て、不正行為のリスクを軽減する。
  • シンプルかつ小さく: システムをできるだけシンプルにし、複雑さを減らすことで、セキュリティリスクを低減する。
  • ゼロトラスト: ネットワーク内外のすべてのユーザーとデバイスを信頼せず、常に検証するセキュリティモデル。
  • プライバシーを考慮した設計: 個人情報保護を考慮したシステム設計。
  • 責任の共有: セキュリティ責任を組織全体で共有する。
  • セキュアアクセスサービスエッジ: エッジコンピューティング環境におけるセキュリティ対策。

• セキュリティ モデル:

  • セキュリティ モデルの基本概念: Biba モデル、Star Model、Bell-LaPadula モデルなど、さまざまなセキュリティモデルの理解。

• セキュリティ コントロール:

  • システムのセキュリティ要件に基づいてコントロールを選択: 適切なセキュリティコントロールを選択し、実装する。
  • 情報システム (IS) のセキュリティ機能: メモリ保護、Trusted Platform Module (TPM)、暗号化/復号化など、IS のセキュリティ機能を理解する。

• 脆弱性評価と軽減:

  • セキュリティアーキテクチャ、設計、ソリューション要素の脆弱性評価と軽減: クライアントベースのシステム、サーバーベースのシステム、データベースシステム、暗号システム、産業用制御システム (ICS)、クラウドベースのシステム (SaaS、IaaS、PaaS)、分散システム、モノのインターネット (IoT)、マイクロサービス (API)、コンテナ化、サーバーレス、組み込みシステム、高性能コンピューティングシステム、エッジコンピューティングシステム、仮想化システムなど、さまざまなシステムにおける脆弱性を評価し、軽減する。

• 暗号化:

  • 暗号化ソリューションの選択と決定: 暗号化ライフサイクル、暗号化方式 (対称、非対称、楕円曲線、量子など)、公開鍵基盤 (PKI) (量子鍵配送など) を理解し、適切な暗号化ソリューションを選択する。
  • 暗号解読攻撃: 力ずくで暗号文のみ知る、既知の平文、周波数分析、選択された暗号文実装攻撃、サイドチャネル攻撃、フォールト注入、タイミング攻撃、中間者攻撃 (MITM)、ハッシュを渡す、ケルベロスの悪用、ランサムウェアなど、さまざまな暗号解読攻撃の方法を理解する。

• 物理的セキュリティ:

  • サイトと施設のセキュリティ管理: サイトと施設の設計にセキュリティ原則を適用し、配線室/中間配線設備、サーバールーム/データセンター、メディア保管施設、証拠保管、立ち入り禁止区域および作業区域のセキュリティ、ユーティリティおよび暖房、換気、空調 (HVAC) 環境問題、火災予防、検知、消火、電源 (冗長、バックアップ) など、さまざまな要素を考慮する。

• 情報システムライフサイクル管理:

  • **利害関係者の