HOME
CISSP セキュリティプロフェッショナル

「CISSP セキュリティプロフェッショナル」の記事一覧

脆弱性スキャンツールの運用において、「認証ありスキャン（Credentialed Scan）」が「認証なしスキャン」より推奨される理由はどれか。

認証なしでは外部から見えるポートしか検査できないが、ログイン情報を与えることで、内部のレジストリや…

2026年3月3日

企業がクラウドストレージ（S3等）を利用する際、誤って「パブリック公開」設定にしてしまうリスクを防ぐための予防的コントロールはどれか。

AWSなどのクラウド側で用意されている「パブリックアクセスをすべてブロックする」機能を組織全体やアカウ…

2026年3月3日

「サイドチャネル攻撃」への対策として、暗号処理の実装において考慮すべき「定数時間（Constant-time）アルゴリズム」とは何か。

秘密鍵の値によってif文の分岐が変わるなどで処理時間に差が出ると、それを観測されて鍵を推測されるため…

2026年3月3日

BCPの発動基準（Invocation Criteria）において、特定の事象（地震など）だけでなく、「何」に基づいて発動を判断するのが最も実用的か。

原因が何であれ（火災でもサイバー攻撃でも）、「重要業務がRTOを超えて停止する見込みがあるか」という影…

2026年3月3日

DNSSECの運用において、信頼の連鎖（Chain of Trust）を維持するために、親ゾーン（例：.jp）に登録しなければならない子ゾーン（例：example.jp）のレコードはどれか。

子ゾーンのKSK（鍵署名鍵）のハッシュ値を含むDSレコードを親ゾーンに登録し、親が署名することで、ドメイ…

2026年3月3日

APIのセキュリティ設計において、クライアントからのリクエストに含まれるパラメータ（ページ番号や検索クエリなど）をそのままデータベースのクエリに連結してしまうことで発生する脆弱性はどれか。

ユーザー入力を検証・無害化せずにクエリとして解釈させてしまうと、意図しないコマンドが実行されるイン…

2026年3月3日

Web脆弱性診断ツール（DAST）を実行する際、診断によるデータの破壊や予期せぬメール送信などを防ぐために、本番環境ではなく実施すべき環境はどれか。

DASTは実際に攻撃リクエストを送るため、DBデータの汚染やシステム停止のリスクがある。したがって、本番…

2026年3月3日

SAMLアサーションに含まれる「Subject」要素は、通常何を表しているか。

Subjectは、認証の対象となっている主体（ユーザー）を特定する情報（EmailアドレスやユーザーIDなど）を…

2026年3月3日

IDS/IPSの運用において、シグネチャベースの検知では防げない「ゼロデイ攻撃」を検知するために有効な手法はどれか。

アノマリ検知は、ベースライン（正常な状態）からの逸脱を監視するため、既知のシグネチャがない未知の攻…

2026年3月3日

定量的リスク分析において、「EF（露出係数）」を見積もる際、最も考慮すべき要素はどれか。

EF（Exposure Factor）は、特定のリスク（例：火災）が実現したときに、資産（例：建物）の価値がどれだけ…

2026年3月3日