はじめに
CISSP（Certified Information Systems Security Professional）は試験範囲が膨大で、セキュリティに対する広く深い理解が必要です。
公式トレーニングが最も有効な試験対策ですが、そんなお金ないよという方や独学で合格を目指す方のバイブルとなるよう用語集を作りました。
ISC2発行の公式問題集の問題順に従い用語解説を行っているので、問題集と本サイトだけで対策可能な構成となっています。
この記事ではドメイン2で登場する用語を中心的に解説しています。
※あくまで備忘録となるため、内容の正確性を保証するものではありません
使用した問題集について
試験対策として公式が出版する問題集のみを使用して試験に合格しました。この問題集はAmazonで電子版の購入が可能です。Kindle版だと各問題番号が正答へのリンクとなっていてとても使いやすいので大変おススメです。
セキュリティとリスクマネジメント（ドメイン2）#1～16
中間者攻撃（Man in the middle）
悪意のある第三者が通信の間に入り込み、データ通信を傍受したり改ざんをする攻撃
対策：暗号化、認証
パケットインジェクション
中間者攻撃の一種であり、悪意のあるパケットを通信注入し、通信を改ざんする攻撃
スニッフィング
パケットキャプチャツールなどを使用して通信を傍受する攻撃
Tempest攻撃（Transient Electromagnetic Pulse Surveillance Technology Attack）=テンペスト
LANケーブルやモニターから発信される微弱な電波を傍受して、別のモニター上に傍受したデータを表示する技術。悪意のある第三者がデータを傍受することが可能。
VPN（Virtual Private Network）
パブリックネットワークを様々な技術で仮想的に独立した回線にすることで、通信を保護する技術
COBIT（Control Objectives for Information and Related Technologies）
ITの管理とガバナンスに関する国際的なフレームワークである。COBITは、企業がITを効果的に活用し、リスクを最小限に抑えながら情報資産を適切に管理するための標準的な手法を提供する。
COBITの目標は；
- ITのガバナンスと管理のためのフレームワークの提供
- ビジネス目標とITの関連性の強化。
- リスク管理やコントロールの強化
- ITプロセスの標準化と最適化
ロール
①ビジネスオーナー（Business Owner）
ビジネスについて最もよく理解をしており、ビジネスに必要なデータの収集・処理・保管などの利用に関する方針や要件を定義する。
②データプロセッサー（Data Processors）
データを適切に処理する責任があり、システムやプロセスを管理し機密性・整合性・可用性を確保する役割を持っている。通常はシステムやデータ処理を委託している業者などを指すことが多い。
③データオーナー（Data Owners）
データの持ち主であり、そのデータのCIAレベルやセキュリティコントロールの内容を定義する。
④データスチュワード（Data Stewards）
データの整合性やセキュリティなどの特定の側面に重点を置いて責任を負う。特定のデータセットや領域について利用ルールやアクセス権の管理などを行う。
⑤ユーザー
データを利用し業務を行う一般職員。
⑥データ管理者
データオーナーや経営者が定義したセキュリティコントロールを実装する責任がある。データの完全性確認、バックアップのテスト、セキュリティポリシーの管理も行う。
管理コントロール
①ガイドライン
ガイドラインは、期待される活動を明確にし、それを達成するためのベストプラクティスを提供する。遵守すべき義務ではなく、アドバイスである。運用中のシステムやネットワークのセキュリティを更に向上させるためのリソースであり、業界標準やベストプラクティスに準拠している。
②ポリシー
ポリシーは、経営幹部や上級管理職によって組織に提供される指示や意思表示など、組織の方向性を定めるもの。
③ベースライン＝セキュリティベースライン
様々な業界スタンダードを組織のセキュリティ要件に合致するように調整したもので、組織の基準となる最低限のセキュリティである。組織において基準となるセキュリティ対策や要件が記載されており、資産を保護するために利用される。
資産の分類
資産はその価値や重要性により機密性レベルを付与し分類する必要がある。分類後の媒体（システムやデータベース等）には適切なラベルをつける必要がある。複数の機密性レベルのデータを保持している場合は、データの中で最高レベルの分類に基づきラベル付けを行う。
アメリカ政府での資産分類
- 最高機密（Top Secret）→非常に重大な損害を与える（Sever damage）
- 機密（Secret）→深刻な損害を与える（Serious damage）
- 部外秘（Confidential）→損害を与えるが国防に関わるデータではない
- 非機密（Un-classified）→損害を与えず、機密データでもない
民間での資産分類
- 社外秘/専有（Confidential/Proprietary）→非常に重大な損害を与える（Sever damage）
- プライベート（Private）→深刻な損害を与える（Serious damage）
- 重要（Sensitive）→損害を与える
- 公開（Public）→損害を与えず、機密データでもない
データ残留 (Data Remanence)
サニタイズなどデータ削除プロセスが誤って実施され、媒体上の機密情報がのこってしまうこと。
例）SSDのオーバープロビジョニング領域（OP）、HDDのスペアセクター・不良セクター
クリアリング（Clearing）
保存媒体や記憶装置に対してデータを上書きし元のデータを削除する。デバイスの再利用を可能とする。
データ保持ポリシー
組織が情報資産をどのように保持・廃棄するかに関するガイドラインやポリシーのこと。データの安全性、セキュリティ、コンプラアンスを確保することを促す。
PII（Personal Identifiable Information）= 個人識別情報
氏名、誕生日、社会保障番号、運転免許証、IDカード番号、クレジット/デビットカード、銀行口座番号など。
HIPAA（Health Insurance Portability and Accountability Act）
個人の病歴や投与している薬などから病気を推測できるので個人の健康情報は保護する必要がある。対象は医務室、保険会社、取引先、雇用主を含む（これに限定されない）医療データを扱う企業や事務所。保護する対象はPHI（Protected Health Information）。
PCI DSS （Payment Card Industry Data Security Standard）＝クレジットカード業界データセキュリティ基準
カードの会員情報を適切に保護するために6つの目的を達成することを規定している。
- 安全なネットワークとシステムの構築と維持
- カード会員データの保護
- 脆弱性管理プログラムの維持
- 強力なアクセス制御手法の導入
- ネットワークの定期的な監視およびテスト
- 情報セキュリティポリシーの維持
EU-USプライバシーシールド
GDPR発表と同時にEU域内での米国企業の経済活動、およびEU域内の個人情報を米国へ国外移転を可能とする協定。
アメリカの商務省（Department of Commerce）が管轄している。
サニタイズ（Sanitization）
データや情報を適切に削除するためのプロセスであり、機密情報を不可逆的に削除することが出来る。
クリアリング（Clearing）
保存媒体や記憶装置に対してデータを上書きし元のデータを削除する。デバイスや媒体を再利用する場合に用いられるプロセスである。
パージング（Purging）
保存されているデータを復元できないように消去する。パージング後はデバイスの再利用はできない。
消去
ファイルなどのデータを削除するが、データ自体は残っているためサニタイズのプロセスとしては使用されない。
スラック領域
ファイルがディスクに保存される際に生じる余分な領域 ファイルを保存する際にブロックサイズ毎に領域を割り当てる場合に生じる可能性がある余分な領域。
例）4KB毎のブロックサイズを持つシステムで1KBのファイルを保存する際も4KBが割り当てられ、結果3KBの余分な領域が生じる。
ゼロフィル
ディスクやストレージ上の全てのデータを0（ゼロ）で置き換え、データの削除や初期化を行う手法
共通鍵暗号化（Symmetric Key Encryption）＝対象鍵暗号化
データを暗号化する鍵と復号化する鍵が同一であるデータの暗号化方式。共通鍵はデータをやり取りする送信者と受信者が知っており、他社には知られてはいけない。 データを送受信する前に事前に共通鍵を安全な方式で交換し合う必要がある。
AES（Advanced Encryption Standard）
共通鍵暗号化手法の1つ。暗号化に高いセキュリティを提供すると同時に、高速な処理と広範な応用範囲を持つため、現代のセキュリティニーズに対応する主要な暗号化手法の一つとなっている。128ビット、192ビット、または256ビットの鍵長をサポートしている。
AESの特徴は以下のとおり。
- 高セキュリティ
非常に強力な暗号化を提供し、現在公開されている攻撃手法に対して安全であると考えられている。 - 高速処理
効率的なアルゴリズムであり、多くのプラットフォーム上で高速に動作する。 - 広く利用できる
標準化された暗号化アルゴリズムとして広く採用されており、インターネットのセキュア通信（HTTPSなど）やデータの暗号化など、さまざまな用途で使用されている。
DES（Data Encryption Standard）
鍵は対称鍵であり、暗号化と復号に同じ鍵を使用する。
初期の対称鍵暗号アルゴリズムの一つ。64ビットのブロックと56ビットの鍵を使用してデータを暗号化する。鍵は実際には56ビットだが、8ビットがパリティビットとして使用され、実際の暗号鍵は56ビット。しかし、DESは現代の計算機能力に対して脆弱であることが明らかになり、1990年代には安全性が疑問視されたため、より強力な暗号化手法が必要とされ、1997年にはNISTによってDESの後継としてAES（Advanced Encryption Standard）が採用された。 安全性が不足しているため一般的には使用されず、代わりに、AES等のより強力な暗号化アルゴリズムが広く採用されている。
3DES (Triple DES)
3DESはDESの強化バージョン。DESの鍵長が56ビットであるのに対し、3DESでは鍵長が168ビットになっている。3DESは、3つの異なる鍵を使用してデータを暗号化するため、理論的にはDESよりも強固であると見なされる。しかし、3DESは計算コストが高く、処理が遅いという欠点があるため、より効率的で高速な暗号化アルゴリズムであるAESが普及し、3DESの使用は減少している。AESは、より強力なセキュリティを提供しながらも、3DESよりも効率的な暗号化が可能である。
3DESは、以下の手順で動作します
- 最初の鍵でデータを暗号化する。
- 次に、2番目の鍵で復号化する。
- 最後に、3番目の鍵で再び暗号化する。
メタデータ（Metadata）
データに関する情報（属性）を記述するデータ。データそのものではなく、データの特性や属性、意味に関する情報を表し、データを管理、検索、整理、理解するための利用される。
TLS（Transport Layer Security）
TLSは、データの送受信の際に情報を暗号化し、データの改ざんや盗聴などの攻撃から保護する。ウェブブラウザとウェブサーバー間の通信（HTTPS）、電子メールの送受信（SMTP、POP3、IMAP）、VPN（Virtual Private Network）接続など様々な通信プロトコルに使用される。 TLSバージョン1.0はSSLバージョン3.0の後継として設計された。その後、TLSバージョン1.1、1.2、1.3などのバージョンがリリースされ、セキュリティの向上や性能の改善が行われている。
TLSは以下の機能を持っている。
①暗号化
データの送受信を暗号化し機密性を保護する。
②認証機能
通信相手が信頼できるかどうかを確認するための機能を提供する。通信相手の身元を確認し、中間者攻撃やなりすまし攻撃から保護する。
③完全性保護
データが送信中に改ざんされていないことを確認するための機能を提供する。これにより、データの改ざんが検知されると通信が中断される。
