CISSP 第 2 章: 資産セキュリティの知識ポイント

オンライン写真、PNG に焦点を当てます。

 

資産のセキュリティ

1. データ管理

データ管理のベスト プラクティスのリファレンス

• データ戦略を策定し、データ管理の戦略的目標と原則を明確にする
• データプロバイダー、所有者、管理者など、データに対する役割と責任を明確に定義する
• データの正確性を確認・検証するデータ管理プロセスにおけるデータ品質管理プロセス
• データ管理は文書化され、各データセットを説明するメタデータが作成されます。
• ユーザーのニーズとデータ使用量に基づいてデータベースを計画および定義する
• 情報システムインフラ、データストレージ、データバックアップ、データそのものの更新戦略
• 継続的なデータ監査により、データおよび資産管理の有効性とデータの整合性を実現します。

データ戦略

（データポリシー）

• データ戦略 企業またはプロジェクトのデータ管理に関する長期戦略目標を策定します。
• データ戦略は、データ管理の指針となるフレームワークを確立する一連の高レベルの原則です。
• データ ポリシーは、データ アクセス、関連する法的問題、データ ガバナンスの問題、データ ガバナンスの責任、データ取得、その他の問題などの戦略的問題に対処するために使用されます。
• セキュリティ担当者がデータ ポリシーを作成する際に考慮する必要がある問題には、次のようなものがあります。
  • 料金
  • 所有権と管理責任
  • プライバシー
  • 責任
  • 感度
  • 法的および政策上の要件
  • ポリシーとプロセス

データ関連の役割と責任

• すべてのデータの役割を定義する
• ライフサイクル全体のデータ所有権を確立する
• データのトレーサビリティを段階的に構築する
• データ品質とメタデータメトリクスがベースラインレベルに維持されていることを確認する
• データの所有権
  • 情報のライフサイクル: 作成、使用、保管、送信、変更、破棄など。
  • 情報が作成されたら、所有権の責任を明確に定義する必要があります。通常、情報を作成、購入、または取得する人。
  • 所有者の責任には通常次のものが含まれます。
    • 組織の使命に対する情報の影響を定義します。
    • 情報の代替コストを理解する。
    • 組織のイントラネット上の誰が情報を必要とし、どのような状況で情報を公開するかを決定する
    • データが正確でなくなった、または必要なくなり、破棄する必要がある時期を知る
  • データ所有者は通常、知的財産権や著作権などを含むデータに対する法的権利を持っています。
  • データ所有者は関連ポリシーを確立し文書化する必要があります
    • データの所有権、知的財産権、著作権
    • データコンプライアンスを確保するためのビジネス関連の法的および違法な義務
    • データセキュリティ、漏洩防止、データ公開、価格、普及に関する戦略
    • データを公開する前に、ユーザーまたは顧客と覚書および認可契約を締結し、使用条件を明確にします。
• データ管理権
  • データ管理者の責任には主に次のものが含まれます。
    • データポリシーとデータ所有権のガイドラインに従ってください
    • 適切なユーザーのアクセスを確保し、適切なレベルのデータ セキュリティを維持します。
    • 基本的なデータセットのメンテナンス (データ ストレージとアーカイブを含むがこれらに限定されない)
    • データセットのドキュメント (ドキュメントの更新を含む)
    • データの品質を確保し、データの整合性を確保するための定期的な監査を含むデータセットの検証を行う
  • データ管理権限の地位に関連する役割は次のとおりです。
    • プロジェクト マネージャー、データ マネージャー、GIS マネージャー、IT スペシャリスト、データベース管理者、アプリケーション開発者、データ取得または取得

データ品質

• プロセス
  • データ品質の原則は、データ収集から始めて、データ管理ライフサイクル全体にわたって適用される必要があります。どの段階であってもデータ品質の損失はデータの可用性の低下につながります。
  • データ取得、記録データ取得時間
  • デジタル化前のデータ操作（ラベルの作成、データ分類のコピーなどを含む）
  • データサンプルの特定と記録
  • データのデジタル化
  • データの文書化 (メタデータのキャプチャと記録)
  • データのストレージとアーカイブ
  • データの出版および配布（紙および電子出版物、Web でアクセス可能なデータベースなどを含む）
  • データの操作 (データ操作やデータ分析など)
• 標準精度 精度 分解能 信頼性 再現性 再現性 循環相関 監査可能性 完全性 適時性
• コントロール
  • 品質管理 (Quality Control) は、内部標準、品質を管理および監視するためのプロセスと手順、およびデータ製品の結果に基づく QC 管理に基づいています。
  • 品質保証 (品質保証) は、最終製品が品質要件を満たしていることを確認するためにデータ アクティビティと品質管理プロセスをチェックする外部基準に基づいており、QA はデータ ライフ サイクル全体にわたる保証を提供します。
  • データ品質に対する期待の 2 つの要素:
    • 1. 誤ったデータ記録の頻度
    • 2. データ記録におけるエラーの重要性
  • データ品質管理の 2 つのプロセス
    • 検証確認：ソースデータと一致するかどうかの確認、正確性の保証など、通常はデータに詳しくない人でも実行できます
    • 検証検証: データ品質の目標が満たされているかどうか、および逸脱の理由を評価します。通常は専門家によって実行されます。
• 推進する
  • 防止 防止: エラー防止は主にデータ収集とデータベースへのデータ入力の段階で行われます。
  • 訂正：必須の手段
  • ドキュメント ドキュメント: データベース設計に統合されています。 1. 各レコード (レコード) がチェックされ、レコードに変更が加えられていることを確認します。 2. メタデータ レコード

データ管理の文書化と整理

• 目標
  • データの寿命を確保し、再利用を容易にする
  • データ利用者がデータセットの内容と制限を理解していることを確認する
  • 補助データセットの検出
  • 補助データセットとデータ交換
• ベストプラクティス
  • データセットのタイトルとファイル名
  • ファイルの内容: パラメータ、コード化されたフィールド、欠損値
  • メタデータ: データの構成、データドメイン、およびそれらの関係に関する情報。データのデータであり、データの識別、品質、スペース、属性、データセットの分布などが含まれます。

データ標準を採用するメリット

• より効率的なデータ管理 (更新とセキュリティを含む)
• データ共有を促進する
• より高いデータ品質
• データの一貫性を向上させる
• データ統合を促進する
• データをよりよく理解する
• データリソースのドキュメントを改善する
• データ標準には、国際、国内、地域、および地方の標準があります。

2. データライフサイクル管理

データライフサイクル管理

• データ定義、データモデリング、データ処理、データベースメンテナンス、データセキュリティ
• データの使用状況とデータの有効性を監視するための継続的なデータ監査
• 定期的なスナップショットを含むメンテナンスの可用性を確保するアーカイブにより、データまたはバックアップの破損が発生した場合に以前のバージョンにロールバックできます。

データ定義とモデリング

• データベース計画にはユーザー要件分析、データモデリングが含まれます
• データ入力、レポート作成、長期データ分析によるデータ収集
• データモデリングはユーザーのニーズを満たすための道筋を特定することです
• データ モデリングは反復的かつインタラクティブである必要があります
  • 考慮すべき質問は何ですか?
• データ・モデル
  • データベースのアウトライン設計フェーズでは、データ モデルを作成します。
  • データモデルには、データベースデータの構造部分、データベースデータの操作部分、およびデータベースデータの制約が含まれます。
  • データ構造: データモデルにおけるデータ構造は、主にデータの種類、内容、性質、データ間の関係などを記述します。データ構造はデータ モデルの基礎であり、データの操作と制約は基本的にデータ構造に基づいています。データ構造が異なれば、操作や制約も異なります。
  • データ操作: データモデルのデータ操作は主に、対応するデータ構造上の操作タイプと操作モードを記述します。
  • データ制約: データ モデルのデータ制約は、主に文法、データ構造内のデータ間の意味関係、それらの間の制約と依存関係、およびデータの正確性、有効性、互換性を確保するための動的なデータ変更のルールを記述します。

データベースのメンテナンス

• つまり、データベースを作成した後の作業をデータベースメンテナンスと呼ぶのです。システムデータのバックアップ、データベースシステムの復元、ユーザー情報テーブルの生成、情報テーブルの認証、システム動作状態の監視、システムエラーの適時の処理、システムデータのセキュリティの確保、ユーザーパスワードの定期的な変更が含まれます。

データ監査

• データの使用と有効性を監視します。データ監査プロセスには、組織の情報ニーズの特定、これらのニーズの戦略的重要性のレベルの明確化、内部組織と外部組織間の情報フローへのニーズのマッピング、およびリソースが適切かどうかの特定が含まれます。現在提供されているサービスはニーズを満たしており、ギャップや繰り返される非効率性を特定して分析し、変更を加えます。

データのストレージとアーカイブ

• データ保存の問題を解決しました
• 考慮すべき要素には、サーバーのハードウェアとソフトウェア、ネットワーク インフラストラクチャ、データセットのサイズと形式、データベースのメンテナンスと更新、データベースのバックアップとリカバリのニーズが含まれます。
• データのアーカイブは、頻繁に使用されなくなったデータを長期保存するために別のストレージ デバイスに移動するプロセスです。

データセキュリティ

• データ セキュリティに対する脅威には、誤用、悪意のある攻撃、意図しないエラー、不正アクセス、物理的機器の盗難または損傷、自然災害などが含まれます。
• 多層セキュリティ アーキテクチャと多層防御アーキテクチャを採用
  • UPS、サーバーミラーリング（冗長性）、バックアップ、バックアップ整合性テスト
  • 物理アクセス制御、ネットワークアクセス制御、ファイアウォール、機密データの暗号化
  • ソフトウェアのパッチ更新、インシデント対応、災害復旧計画など。
• リスクベースのアプローチをとる
  • リスクアセスメント
  • リスク削減
  • 評価と評価

解決すべきデータまたはデータベースへのアクセスの問題

関連するデータ ポリシーとデータの所有権は何ですか? このデータにアクセスする必要があるのは誰ですか? さまざまな種類のデータとさまざまなレベル? データを提供するコストとデータへのアクセスを提供するコストは? エンドユーザー向けのデータ形式? システム設計の考慮事項? データ収集に問題がありますか? メタデータの正確性、データ使用制限における義務の問題? データの使用、保管、送信における法的問題はありますか? マルチユーザーアクセスが必要ですか? 機密データに関する国際法の不平等

• データ アクセス制御を決定する要素には次のものがあります。
  • プライバシー
  • コマーシャルクレジット
  • 国際安全保障上の考慮事項
  • 法令

データ公開

• 機密データのラベル付け、処理、保管、および破棄: 機密性に基づく従来のデータ分類、機密性、完全性、および可用性に基づく最新の分類
• メディア: 物理的および論理的な制御が必要
• 処理: 権限のある人のみがデータにアクセスでき、関連するポリシー、プロセス、手順を定義する必要があります。
• ストレージ: 機密データのバックアップ メディアは暗号化され、安全なコンテナに保管される必要があります。機密メディアへのアクセスを厳しく制限します。
• 廃棄：廃棄記録の確立と再利用管理の実施
  • ラベル付け: 記憶媒体には、暗号化されているかどうか、連絡先、保管時間などを明確にするための機密ラベルを付ける必要があります。
• 記録の保持: データは通常、業界標準または法律および規制の要件に従って保持されます。定期検査。

データの残り

• クリア: 通常のシステムまたはソフトウェア回復ツールでは回復できません。特殊な実験器具を回収できます。たとえば、書式設定です。
• 撲滅のパージ: どのテクノロジーも回復できない
• 破壊: 記憶媒体が破壊され、従来のデバイスでは読み取りおよび使用できなくなり、使用できなくなります。
• 加工方法の例:
  • 上書き: プログラムを使用してメディアに書き込み、元のデータを通常 3 回上書きします。
  • 消磁 消磁 (第 2 セキュリティ): 強力な磁場または電磁場を使用して磁気メディア内のデータを消去します。
  • メディアの破壊 (最も安全): メディアを物理的に破壊します。破壊する前に、メディア内のデータを消去し、ストレージ メディアを完全に破壊することが最善です。最も安全な方法です。
    • 媒体を化学的に使用不能、不可逆的にする（例: 焼却または腐食）
    • 媒体を物理的に崩壊させる（粉砕など）
    • 形態変化 (ソリッド ステート ドライブの液化または気化)
    • 磁気媒体の場合は、キュリー温度を超えて温度を上げます。
  • 暗号化: データを暗号化して、対応するキーなしでは読み取れないようにします。
• データのサニタイジングの解除
• クラウドストレージにおけるデータセキュリティとデータ残留問題: データ暗号化の適用

データの保持

(完全性、可用性)

• ビジネス要件と法的要件に基づいてデータ保持ポリシーを策定する
• データ保持ポリシー定義の手順
  • 法的要件、規制上の義務、ビジネスニーズを評価する
  • 記録のグレーディング
  • 保存期間と破棄方法を決める
  • データ保持ポリシーを策定する
  • スタッフトレーニング
  • データ保持のチェックと監査を実施する
  • ポリシーを定期的に更新する
  • ポリシー、手順、トレーニング、監査などを文書化します。
• データ保持の方法
  • 分類
    • 機能、時間、構成などのさまざまなカテゴリを含むデータ分類計画を作成します。
  • グレーディング
    • データ機密レベルに応じた機密処理
  • 標準化
    • データを簡単に取得できるようにする標準スキーマを開発する
  • 索引
    • データ インデックスを作成して機密データのクエリを容易にする
• どれくらいの期間保管するか
  • 7年間のビジネス文書と議事録
  • 5年分の請求書
  • 買掛金および売掛金 7年
  • 人事部は3年間雇用されずに7年間申告
  • 納税後4年間の納税記録
  • 恒久的な法的対応

データライフサイクルのセキュリティ管理

• 定義: データ変更プロセスに従うセキュリティ制御
• 取得段階
  • 2 つのパス: コピーと作成
  • 高度なメタデータ設計と使用前のデータのマッチング。その後、この情報は簡単に検索できるようにインデックス付けされ、1 つ以上のデータ ストアに割り当てられます。
  • 管理措置
    • データを保存するときは、カード番号と個人を特定できる PII 情報を使用して情報を暗号化します。
    • 機密データについては、厳格なデータ アクセス ポリシーを設定する
    • データを以前の状態に復元するデータ ロールバック戦略を設定する
    • 事後ではなく、獲得段階で対策を講じるように努めてください。
• 使用ステージ
  • 意味
    • さまざまなアクセス レベルを持つユーザーがデータを読み取り、変更する
    • 現段階でのデータ保護は CIA にとって非常に困難です
    • 適切な人物のみがデータの変更を許可されるようにする必要があります
  • 内部の一貫性を確保する
    • データを変更する操作が反復可能であることを確認する
    • 不整合を自動解決する仕組みを備えており、突然の停電などによるデータの不整合を防ぎます。
  • 情報の活用と集約は、情報の分類や分類などの変化を引き起こす
• アーカイブステージ
  • 意味
    • 情報が定期的に使用されない場合は、アーカイブする必要があります
  • 適切なデータ保持ポリシーを導入する
    • 長期間にわたって検出されることなくデータの改ざんや不正アクセスを防止します。
    • バックアップ データの保護: 安全な物理的場所、データ暗号化
    • データ保持期間: 短すぎる場合、データはまだ役立つ可能性があります。データ操作が失敗したり攻撃された場合、データの回復と電子フォレンジックが必要になります。長すぎる場合は、データ保管コストが無駄になり、相応のコストがかかります。責任が増えるだろう
  • バックアップとアーカイブの違い
    • データ バックアップ: 現在使用されているデータ セットのコピーであり、元のデータの損失から回復するために使用されます。通常、データは常に更新され、バックアップされます。
    • データ アーカイブ: 使用されなくなったが、将来の使用に備えて保存する必要があるデータセットのコピー。データがアーカイブされると、通常は元の場所から削除され、使用済みデータ用にストレージ スペースが確保されます。
• 廃棄
  • 意味：
    • データが使用されなくなり、適切に破棄された場合
  • 必要とする
    • データはコピーと同様に実際に破壊されます
    • 正しく破壊された場合、データ復旧のコストはデータ自体の価値よりも高くなります

5. 関連する安全規格リソース

米国国防総省

• DoDI 8510.01 防衛情報保証認証および認定プロセス DIACAP
• NSA 情報保証緩和ガイドライン

国立標準研究所 NIST

• 連邦情報処理規格 (FIPS) FIPS200
• NIST SP800シリーズ
• SP800-37 連邦情報システムのリスク管理フレームワーク
• SP800-53 連邦情報システムのセキュリティおよびプライバシー管理
• SP800-60 情報および情報システムのセキュリティ分類
• 国家チェックリスト プログラム

欧州ネットワークおよび情報セキュリティ センター ENISA

• EUのサイバースペースセキュリティ戦略

ITUIEEE

• X.800、X.1205

国際標準化機構ISO

• ISO27001
• ISO27002

4. プライバシー保護とデータセキュリティ管理

プライバシー保護に関する法的要件

• 国内プライバシー保護法: スウェーデン 1970 年、米国 1974 年、ドイツ 1977 年、フランス 1978 年
• 国境を越えた規制: EU 1981、OECD 1980
• プライバシー保護の基本要件
  • 公正かつ適法な取得、本来の目的のみ、適切な情報、目的を超えない情報、
  • 正確かつ最新、主題にアクセス可能、安全に保管、目的達成後に削除
  • 2012 年、欧州連合はより包括的なデータ保護ガイドラインを発行しました。
  • EUと米国商​​務省、矛盾を解決するセーフハーバー協定「セーフハーバー」に署名

プライバシー データ管理の役割

• データ所有者
  • 通常、特定のデータにアクセスできるビジネス マネージャーによる段階的または直接の決定を指します。
• データプロセッサ

耐残留磁気

• コピー
• 消磁
• 暗号化
• 物理的破壊

コレクションを制限する

• 法的政策
• 組織内の文書化されたポリシー

データセキュリティ管理

• 静的データ
  • バックアップ テープ、オフサイト ストレージ、パスワード ファイル、その他の機密データを含む保存データの保護
  • 危険
    • 悪意のあるユーザーは、物理的または論理的なスコープおよびストレージ デバイスを通じて機密情報を取得する可能性があります。
  • 推奨される戦略
    • テストデータの回復計画を指定する
    • リムーバブルデバイスとメディアは暗号化する必要がある
    • AES 暗号化など、適切な暗号化ツールとアルゴリズムを選択します。
    • 安全なパスワードを作成する
    • パスワードおよびキー管理ツールを使用する
    • リムーバブルメディアのラベル付け
    • リムーバブルメディアは安全な場所に保管する必要があります
    • リムーバブルメディアの場所を記録し、管理を追跡します
• 動的データ
  • 送信データの保護のため、主にリンク暗号化、エンドツーエンド暗号化などの傍受を防止する暗号化方式を使用します。
  • 危険
    • 悪意のあるユーザーが転送中の平文データを傍受または監視する可能性がある
  • 推奨される対策
    • 機密データは、イントラネット間の送信を含め、ネットワーク経由で送信する場合には暗号化する必要があります
    • Web からデータにアクセスできる場合は、SSL3.0 や TLS1.2 などの安全な暗号化プロトコルを採用する必要があります。
    • 電子メール送信には PGP または S/MIME を使用する必要があり、データは暗号化ソフトウェアによって添付ファイルとして暗号化されます
    • 非 Web データはアプリケーション レベルで暗号化する必要があります
    • アプリケーションレベルの暗号化を使用できない場合は、IPsec 暗号化または SSH 暗号化を使用する必要があります。
    • アプリケーションとデータベース間の通信は暗号化する必要があります
    • デバイス間で転送される機密データは暗号化する必要があります
• DLP データ漏洩防止
  • 動的データ
  • 静的データ
  • データを使用する
  • ステガノグラフィーと透かし技術
• 他の資産を保護する
  • 安全なモバイルデバイス
    • デバイス上のすべてのデータを暗号化する
  • ハードコピーの書類
  • 安全
• セキュリティベースライン、適用性、調整
  • システムに対する最小限の保護手段を構築する
  • 企業は自社の状況に応じてセキュリティベースラインをカスタマイズできます
  • 米国連邦政府構成ベースライン (USGCB)
  • スコープとクリッピング
    • スコープの定義と調整を通じてセキュリティ アーキテクチャの重要なポイントに焦点を当てる
    • 企業のニーズに応じて、さまざまな基準やベースラインを柔軟に適用します

3. 情報の分類と資産管理

情報の分類

• グレーディング: 一般に感度に応じて: 重要度に応じて
• 分類：一般的にCIA損失の影響に従って、高、中、低に分けられます。
• 政府または軍事情報の分類
  • 第 1 章リスク管理を参照
• 仕事
  • 第 1 章リスク管理を参照

情報の分類管理

• 職務の分離（機密情報へのアクセスには二人以上の関与が必要と判断し、不正行為を防止）
• 定期的な見直し（分類階層、データ、手順等の見直し）
• マーキング、識別、および処理手順 マーキング (物理的記憶媒体上のマーキング)、ラベリング (システム内のグレーディングおよびラベリング)

責任のレベル

• 役割の種類
  • 経営管理
    • 注: 上級管理職は組織のセキュリティの最終責任を負います
  • データ所有者
    • データ分類の決定を担当します
    • データへのアクセスを承認する
    • 誰がデータにアクセスできるかを間接的または直接的に決定する
    • データ所有者は通常、知的財産権や著作権などの法的権利を持っています。
  • データ管理者
  • システム所有者
  • セキュリティ管理者
  • 監督者
  • 変更管理アナリスト
  • データアナリスト
  • ユーザー
  • 監査人

資産運用の概念

• 在庫管理 在庫管理
  • 主にハードウェアおよびソフトウェア資産の状態を維持するため
• 構成管理は、複数の管理側面を追加した、構成管理のより広範な概念です。
  • 構成管理では、構成アイテム (CI) に基づいて、カテゴリ、コンポーネント、上流と下流、親子関係などを確立できます。
  • 設定項目に基づく変更制御と設定項目の状態監視
• IT 資産管理は、複数の管理側面を追加した、より広範な資産管理の概念です。
  • 資産の財務的な観点を追加: コスト、価値、契約ステータス
  • 資産の完全なライフサイクル管理: 調達から廃棄まで
  • 物理・財務・契約の総合管理
• 構成管理ベース (CMDB)
  • すべての資産構成情報を一元管理するためのリポジトリ

資産管理を実践するための 3 つの重要な要素

• 資産、コンポーネント、契約、運用状況、財務、影響力、上流および下流の関係などを含む、別の集中資産管理データベースを確立します。
• 組織レベルの分業と管理プロセス: 資産管理には、契約管理、調達、財務などだけでなく、IT インフラストラクチャ、アプリケーション配信、デスクトップ サポート、ネットワーク管理などの部門も関与するため、部門間の調整プロセスは非常に複雑です。重要。
• スケーラブルなテクノロジーとインフラストラクチャ: エンタープライズレベルのスケーラブルなテクノロジーとツールを計画する必要がある

資産管理と情報セキュリティ

• 資産管理は情報セキュリティ対策の基礎であり、資産管理がなければ情報セキュリティインシデントを深く理解することはできません。
• 資産管理により、NAC ネットワーク アクセス制御などのアクセス制御構築が促進されます
• ソフトウェアライセンス管理: 著作権侵害を防ぐために、セキュリティ管理者は制御の実装を支援し、定期的にチェックする必要があります。
• デバイスのライフサイクルセキュリティ管理
  • 要件定義段階: セキュリティ要件、セキュリティコストが適切であるか、セキュリティアーキテクチャが満たされているかを定義します。
  • 取得および実装フェーズ: セキュリティ機能の検証、セキュリティ構成、セキュリティの認証と承認、および機器の保管
  • 運用および保守フェーズ: 構成チェック、脆弱性評価、変更管理
  • 廃止フェーズ: データ セキュリティ、構成リポジトリの更新