(3)勉強中に迷った事、分からなかった事、理解の仕方セキュリティ私が自分で迷ったこと、調べたことで、特に印象に残っている事柄を備忘録として書いておきます。理論としてどう理解すれば良いか、もありますが、試験対策としてどう理解しておけば良いか、という視点でも書いています(間違っている点がありましたら、ご指摘ください)。事業継続計画(BCP)と災害復旧計画(DRP)の違い概念としてはBCPの一部としてDRPを作るので、違うに決まっているのですが、具体的な問題として、ある作業はBCPかDRPか、と聞かれると迷うことがあります。この2つがどう異なるか、もっとも分かりやすく知りたければ、改めてSybexの公式スタディガイドを見てください。18に書かれています。実はそれぞれ内容はほとんど重なっていません!BCPとDRPの違いに悩んだらこの本のこれらのチャプターを見直すと良いです。process"として記述されており、両者の区別はSybex公式スタディガイドほど明瞭ではありません。この差の理解で最も大切と感じたのはBCP策定プロセスの正しい理解です。34のBCP策定プロセスを覚えておく必要があります。Propertyとか当たり前のことを言っているようで、何がキモなのかよく分かりません。上記の記事でも紹介した、BellとLaPadulaの共著論文を読んで、このモデルを本気でコンピュータに実装しようとしていたことが分かりました。この辺を知って、少し実感を持って理解できるようになった気がします。同様に強制アクセス制御もUnixの自分で設定するrwx(要は任意アクセス制御)に慣れ親しんだ体には当初、実感が湧きませんでした。storeにはアクセスできない、というような仕組みを読んだことを思い出しました。これは(アドホックに)強制アクセス制御を実装したものだ、と気がついて、ようやく実感が持てた気がしました。この辺の一見抽象的な概念にも必ず具体事例があるはずなので、そのような事例をうまく見つけて勉強すれば、実感できるようになると思います。前者は「ユーザやプロセスには与えられた仕事をするのに最低限必要な権限を与える」、というもので、後者は「アクセスを許可するにはクリアランスがあるだけではなく、知る必要がある、も条件となる」で、概念としては同じことを言っていると思います。試験においてはこの二つは異なる考えです。priviledgeは「ユーザプロセスやその他のプロセスに与える権限設定の話」です。High/Compartment/Multilevel)においてユーザにアクセスが許可されるための条件として出てきます。職務の分離と職務のローテーション不正行為が行われることを防ぐための人事施策として、職務の分離があります。この施策を実施しても、関係者が共謀すると不正が可能になる場合があります。共謀を防ぐための人事施策として、職務のローテーションがあります。ある人がある仕事を一定期間行うとジョブローテーションで別の人にその仕事をアサインするのです。leave)というものもあります。不正行為、職務の分離、共謀、職務のローテーションを上記のように理解して、腹落ちしました。CISSPは同じ言葉を話す同士。歴史も重要CISSPの勉強をしていると結構昔の話がたくさん出てきます。floodとかsmurfのような古めの攻撃方法、TCSEC、ITSECなどすでに使われていない標準、、、でもこれらも試験に出る可能性はあるので、勉強して理解しておく必要があります。古い技術でも現代でも使われて脆弱性になることがある現在の技術が現在の通りになっている理由として歴史的な経緯の理解も必要これらの言葉を知らない、ということは、その概念を知らない可能性もあるなどが主な理由に思われます。CISSPを持っている=この程度の言葉と概念は知っている、という感覚があるのかもしれません。情報システムでの「実装」これは最初かなり戸惑ったのですが、CISSPでSDLCの文脈で「実装」とは最終的な開発物を実運用し始めることを指すようです。今風の言い方だとデプロイだと思います。私の日常生活では、「実装」はソフトウェアのコードを書くこと、なのです。今まで私はある範囲の中で、ソフトウェア開発のフェーズを、仕様決め・設計・実装・テスト・リリース・メンテナンス・破棄と理解してきました。SDLCは情報システム(会社や組織の中で使うシステム)の開発プロセスをベースとしており、上記とは少し言葉が異なります。仕様決め・開発/取得・実装・メンテナンス・破棄、という感じです。live/online/deployまでが含まれます。この辺、自分自身の言葉の理解だとずれていることに気がつくのにかなり時間を要しました。SP800-64だと思うので、下記にリンクを貼っておきます。日本語CISSPを日本語で受験する場合、日本語でテスト問題が出題されますが、同時にワンクリックで元の英語での出題を見ることができます。それにはそれなりの理由があるので、ぜひ、英語での用語に慣れておき、試験では英文も確認しながら進めることをお勧めします。このような確認をすることで、無用な誤解を避けることができます。私の場合も確実に数問、誤解を解くことができました。私は日本語で開催される有料セミナーを受講しませんでした。PadulaアクセスコントロールモデルとMulticsオペレーティ...セキュリティとコンピュータと数学の歴史の話です。使って、数学を楽しみましょう。Androidのサポート」などの記事を書いていきます。test.天気はてなブログをはじめよう!jurupapaさんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。