CISA認定試験問題集, 公認情報システム監査人

質問 #1

オフィスと自宅の間をリムーバブルメディアで移動する情報の機密性を維持するために、最も効果的な管理はどれか。

A. 必須ファイルパスワード

B. セキュリティ意識向上トレーニング

C. デジタル署名メディア

D. データの暗号化

回答を見る

正解: A

質問 #2

侵入検知システム（IDS）でデータの収集を担当するコンポーネントは次のうちどれですか？A. アナライザー

A. B

B. C

C. D

回答を見る

正解: D

質問 #3

許可されたソフトウェアだけが本番環境に移動されることを保証する最善のものは、次のうちどれですか？A.

A. プロダクション・コードへの読み書きアクセスをコンピュータ・プログラマーだけに制限する。

B. テスト済みのプログラムを本番に移行するために、プログラミング・マネージャーを配置する。

C. 独立したテストの後、ソースコードを本番環境にコンパイルするライブラリアン。

D. テスト済みのコードを本番稼動させるために、プログラミング・スタッフを必要とする。

回答を見る

正解: C

質問 #4

ネットワーク機器のコンフィグレーションをレビューする場合、IS監査人は、まず、以下のことを確認すべきである：

A. 配備されているネットワーク機器のタイプに応じたベストプラクティス。

B. ネットワークの構成要素が欠けているかどうか。

C. トポロジーにおけるネットワークデバイスの重要性。

D. ネットワークのサブコンポーネントが適切に使用されているかどうか。

回答を見る

正解: A

質問 #5

組織のIS災害復旧計画をレビューするIS監査人は、それが正しいかどうかを検証すべきである：

A. 半年ごとに検査。

B. 定期的に見直し、更新する。

C. 最高経営責任者（CEO）の承認。

D. は組織内のすべての部門長に伝えられた。

回答を見る

正解: C

質問 #6

サーバーのログに保存された情報の不正な変更を防ぐには、次のうちどれが有効ですか？

A. システムログを含むディレクトリの書き込み保護

B. 複製ログを別のサーバーに書き込む C

C. D

回答を見る

正解: D

質問 #7

バイオメトリック制御装置の性能に関する最も優れた総合的な定量指標は、以下の通りである：

A. 誤審率。

B. 誤認識率。

C. 等エラー率。

D. 推定エラー率。

回答を見る

正解: B

質問 #8

M&A活動の一環として、買収組織は買収する組織のデータとシステムを既存のシステムに統合したいと考える。データが適切なものであることを保証するために、買収組織は以下を行う必要がある：

A. データ品質ソフトウェアを入手する。

B. ビジネスニーズに基づいてデータ品質要件を定義する。

C. データ収集とクリーニングのプロセスを自動化する。

D. データウェアハウス・ソリューションを導入する

回答を見る

正解: ABC

質問 #9

ビジネスインパクト分析（BIA）の主な目的は以下のとおりです：

A. 災害後の業務再開計画を提供する。

B. 組織の事業継続に影響を及ぼす可能性のある事象を特定する。

C. 物理的セキュリティと論理的セキュリティに対する組織のコミットメントを公表する。

D. 効果的な災害復旧計画の枠組みを提供する。

回答を見る

正解: C

質問 #10

次のWANメッセージ伝送技術のうち、2つのネットワークノードが通信する前に、ネットワークを介して専用の通信チャネルを確立するのはどれですか？

A. メッセージ交換

B. パケット交換

C. 回路交換D

回答を見る

正解: C

質問 #11

ホワイトボックス・テストの具体的な利点は、以下のとおりである：

A. プログラムがシステムの他の部分と正常に動作することを検証する。

B. プログラム内部の構造に関係なく、プログラムの機能的な運営効果を確保する。

C. プログラムの特定のロジックパスの手続き上の正確さや条件を決定する。

D. ホスト・システムへのアクセスを制限し、厳密に制御された仮想環境でプログラムを実行することにより、プログラムの機能を検査する。

回答を見る

正解: D

質問 #12

Eコマース環境における通信障害のリスクを最小限に抑える最善の方法は、それを利用することだろう：

A. 送信時間を最小限にするための圧縮ソフトウェア。

B. 機能的またはメッセージの承認。

C. パケットフィルタリングファイアウォールがメッセージを迂回させる。

D. リースされた非同期転送モード回線。

回答を見る

正解: A

質問 #13

ファイアウォールが新しい場所に配備されます。配備を成功させるために最も重要な要素は次のうちどれですか？

A. ログを頻繁に見直す

B. ルールのテストと検証

C. D

回答を見る

正解: B

質問 #14

組織が保管するプライバシー関連データのセキュリティを確保するための最善の方法はどれか。

A. 個人を特定できる情報（PII）を暗号化する。

B. データ分類スキームを公開する。

C. データ所有者に情報収集の目的を知らせる。

D. プライバシー関連データを機密データとして分類する。

回答を見る

正解: B

質問 #15

仮想プライベートネットワーク(VPN)の実装をレビューするIS監査人が最も懸念するのはどれか。ネットワーク上のコンピュータ：

A. 企業の内部ネットワーク上。

B. バックアップサイトにて。

C. 従業員の自宅

D. 企業のリモートオフィスにある。

回答を見る

正解: A

質問 #16

以下の図からLANトポロジーを特定する：バス・トポロジー

A. バス

B. スター

C. リング

D. メッシュ

回答を見る

正解: A

質問 #17

事業継続戦略に関して、IS監査人は組織の主要な利害関係者にインタビューを行い、彼らがその役割と責任を理解しているかどうかを判断する。IS監査人は、以下を評価しようとしている：

A. 事業継続計画の明確さとシンプルさ。

B. 事業継続計画の妥当性。

C. 事業継続計画の有効性

D. 緊急事態に効果的に対応するための IS およびエンドユーザー要員の能力。

回答を見る

正解: A

質問 #18

セキュア・ソケット・レイヤー（SSL）を標的とする攻撃はどれか。

A. マンインザミドル

B. 辞書

C. パスワードスニッフィング

D. フィッシング

回答を見る

正解: A

質問 #19

ある組織のソフトウェア開発者は、特定のデータ形式で保存された個人を特定できる情報（PII）にアクセスする必要があります。開発者が開発環境とテスト環境でこの機密情報を使用できるようにしながら、この機密情報を保護する最善の方法はどれか。A. データマスキング

A. B

B. C

C. D

回答を見る

正解: A

質問 #20

良いパスワードの特徴はどれですか？A. アルファベット、数字、記号が混在している。

A. B

B. C

C. D

D. E

回答を見る

正解: D

質問 #21

デジタル証明書の検証プロセスをレビューする際、最も重大なリスクはどれか。A. 鍵の危殆化を報告する登録機関（RA）がない。

A. B

B. C

C. D

回答を見る

正解: C

質問 #22

重大な影響を及ぼすアプリケーションの取得については、IS 監査チームの参加を促すべきである：

A. デューデリジェンスの初期段階。

B. テストの段階で。

C. 最終承認の段階で。

D. 予算作成段階。

E. 選択肢のどれでもない。

回答を見る

正解: C

質問 #23

投資アドバイザーは、定期的にニュースレターを顧客に電子メールで送信しており、ニュースレターが誰にも改ざんされていないことを合理的に保証したいと考えている。この目的は、以下の方法で達成できる：

A. メルマガのハッシュをアドバイザーの秘密鍵で暗号化する。

B. アドバイザーの公開鍵を使ってニュースレターのハッシュを暗号化する。

C. 顧問の秘密鍵を使って文書に電子署名する。

D. 顧問の秘密鍵を使用してニュースレターを暗号化する。

回答を見る

正解: C

質問 #24

データの機密性、信頼性、完全性を求めるインターネットビジネスにとって、全体的な管理として最も適切なものはどれか。

A. セキュア・ソケット・レイヤー（SSL）

B. 侵入検知システム（IDS）

C. 公開鍵基盤（PKI）

D. 仮想プライベートネットワーク（VPN）

回答を見る

正解: B

質問 #25

シングルサインオンの最も大きなリスクはどれか？一人のユーザーによるパスワードの不注意が、インフラ全体を脆弱にする可能性がある。

A. B

B. C

C. D

回答を見る

正解: D

質問 #26

災害復旧計画の実施後、組織の災害前および災害後の運営コストは、以下のようになる：

A. 減少する。

B. 変わらない（変わらない）。

C. 増える。

D. 事業内容によって増減する。

回答を見る

正解: D

質問 #27

事業部門は、新しく導入されたシステムのパフォーマンスに懸念を抱いている。IS監査人が推奨すべきはどれか。

A. ベースラインを作成し、システムの使用状況を監視する。

B. 代替処理手順を定義する。

C. メンテナンスマニュアルを作成する。

D. ユーザーが提案した変更を実施する。

回答を見る

正解: A

質問 #28

バイオメトリック測定法の性能は、通常、以下の観点から言及される（3つ選べ）：

A. 不合格率

B. 偽受理率

C. 不合格率

D. 不合格率

E. 選択肢のどれでもない。

回答を見る

正解: B

質問 #29

次の用語のうち、組織のコンピュータ・システムから部外者への不正な情報送信を検知・防止するために設計されたシステムを指すものはどれか。

A. ILD&P

B. ICT&P

C. ILP&C

D. ILR&D

E. 選択肢のどれでもない。

回答を見る

正解: B

質問 #30

ギムはよく通用する：

A. SMS

B. IRCチャット

C. 電子メールの添付ファイル

D. ニュース

E. ファイルのダウンロード

F. どれにも当てはまらない

回答を見る

正解: C

質問 #31

無限ループを作成し、自分自身のコピーをたくさん作成し、たくさんのファイルを開き続けるプログラムを含む攻撃は、次のうちどれでしょうか？A. ローカルDoS攻撃

A. B

B. C

C. D

D. E

回答を見る

正解: A

質問 #32

組織がカスタム開発したアプリケーションの長期使用を契約する場合、最も重要なのはどれか？

A. 文書化されたコーディング基準

B. エラー訂正管理

C. 契約更新条項

D. エスクロー条項

回答を見る

正解: E

質問 #33

すべての変更が許可されていることを確認するために、最も効果的な方法はどれか。

A. 問題チケットと許可された変更管理項目との照合

B. 本番ライブラリの変更レポートと許可された変更ログエントリの照合

C. 承認された変更ログエントリを、本番環境に昇格した個人と検証する。

D. 開発ライブラリの変更報告書を裏付け文書と照合する。

回答を見る

正解: A

質問 #34

ウイルスから身を守るためにファイルに付加するものはどれか？

A. 行動ブロッカー

B. 巡回冗長検査器(CRC)

C. 予防接種者

D. アクティブモニター

回答を見る

正解: C

質問 #35

次のうち、マルウェアの有効な例はどれか：

A. ウイルス

B. ミミズ

C. トロイの木馬

D. スパイウェア

E. 上記すべて

回答を見る

正解: A

質問 #36

送信者が後でメッセージの生成と送信を否定できないことを保証するデジタル署名の機能をこう呼ぶ：

A. データの完全性。

B. 認証C

C. D

回答を見る

正解: B

質問 #37

効果的な従業員情報セキュリティプログラムの指標として、最も適切なものはどれか。

A. セキュリティに対する経営陣のサポート強化

B. より効率的で効果的な事故処理

C. インシデントの発見と報告の増加

D. セキュリティ運用コストの削減

回答を見る

正解: D

質問 #38

小売業者は通常、スキャナーを使って商品ラベルを読み取り、商品コードと価格を入力している。同装置は機能しておらず、スタッフは手入力で情報を入力している。入力の正確性に関して、以下のことが考えられる：A. 監査リスクが増加した。

A. B

B. C

C. D

回答を見る

正解: A

質問 #39

サインオン手順には、一意のユーザーIDとパスワードの作成が含まれる。しかし、IS監査人は、多くの場合ユーザー名とパスワードが同じであることを発見する。このリスクを軽減する最善のコントロールは、以下のとおりである：

A. 会社のセキュリティポリシーを変更する。

B. 弱いパスワードのリスクについてユーザーを教育する。

C. ユーザー作成時とパスワード変更時に、これを防ぐためのバリデーションを組み込む。

D. ユーザーIDとパスワードの一致を検知し、修正するために、定期的なレビューを要求する。

回答を見る

正解: C

質問 #40

ある組織が、有線ネットワークを無線ネットワークに置き換える計画を立てている。不正アクセスからワイヤレスネットワークを保護するのに最適なものはどれか。

A. WEP（Wired Equivalent Privacy）の実装

B. 許可されたメディアアクセス制御（MAC）アドレスのみにアクセスを許可する。

C. サービスセット識別子（SSID）のオープンブロードキャストを無効にする。

D. Wi-Fiプロテクトアクセス（WPA）を導入する 2

回答を見る

正解: B

質問 #41

セッション・ハイジャックを回避する最善の方法は、セッション・ハイジャックを回避する方法を使用することです：

A. 逆引き

B. 安全なプロトコル

C. ファイアウォール

D. 強力なパスワード管理

回答を見る

正解: A

質問 #42

適切なパスワードの導入に役立つツールは、次のうちどれでしょう？

A. パスワードクラッカー

B. ローカルDoS攻撃者

C. ネットワークハッカーD

D. E

回答を見る

正解: A

質問 #43

次のうち、ソーシャル・エンジニアリング攻撃を防ぐ可能性が最も高いのはどれか？

A. セキュリティ意識向上プログラム

B. 従業員の身元調査

C. 積極的な識別政策の実施

D. 雇用政策の強化

回答を見る

正解: D

質問 #44

ネットワークに対する受動的な攻撃はどれか。メッセージサービスの中断

A. B

B. C

C. D

回答を見る

正解: C

質問 #45

ネットワーク性能に関する次の用語のうち、ネットワーク上で情報を転送できる最大速度を指すものはどれか。

A. 帯域幅

B. スループット

C. 遅延

D. ジッター

回答を見る

正解: C

質問 #46

ある IS 監査員が、ヘルプデスクがポリシーで要求されているように IT セキュリティに通知することなくセキュリティインシデントを解決している複数の状況を発見した。監査上の推奨事項として最も適切なものはどれか。

A. インシデントレスポンス・ホットラインを共有エリアに表示する。

B. IT セキュリティに問題管理ポリシーを見直させる。

C. インシデントのエスカレーションプロセスを強化する。

D. ヘルプデスクの報告プロセスを再設計する。

回答を見る

正解: B

質問 #47

脆弱性評価を定期的に実施する最も重要な理由はどれか。

A. 技術的リスクは軽減されなければならない。

B. 経営陣は定期的な報告を求めている。

C. 環境は絶えず変化する。

D. 現在の脅威レベルは評価中。

回答を見る

正解: C

質問 #48

セキュリティ・オフィサーの助けを借りて、データへのアクセスを許可することは、セキュリティ・オフィサーの責任である：

A. データ所有者

B. プログラマー。

C. システムアナリスト

D. 博士号を持つ図書館員。

回答を見る

正解: A

質問 #49

データベースのセキュリティを評価する際の重要な手順はどれか。

A. データベースに対して脆弱性評価を行う。

B. データベースに対してデータチェックを行う。

C. データベースに対して辞書チェックを行う。

D. データベースシステムに対してキャパシティチェックを行う。

E. 選択肢のどれでもない。

回答を見る

正解: A

質問 #50

データの機密性は、ある組織の新しいWebサービスの要件です。次のうち、最も適切な保護策はどれでしょうか？

A. テルネット

B. セキュア・ソケット・レイヤー（SSL）

C. トランスポート・レイヤー・セキュリティ（TLS）

D. セキュアファイル転送プロトコル（SFTP）

回答を見る

正解: A

質問 #51

IS監査人が監査フォローアップ活動を開始する前に実施しなければならないのはどれか。

A. ギャップと推奨事項をリスクの観点から表示したヒートマップ

B. 最終報告書での経営陣の対応と、約束された実施日

C. 監査報告書に記載されたギャップおよび推奨事項の裏付けとなる証拠

D. 行動計画に含まれる活動のために利用可能な資源

回答を見る

正解: E

質問 #52

ある新システム開発プロジェクトが、重要な実装期限に遅れている。最も重要な活動はどれですか？

A. 土壇場での強化を文書化する。

B. ユーザー受け入れテストを実施する。

C. 実施前監査を行う。

D. コードがレビューされていることを確認する。

回答を見る

正解: A

質問 #53

電気サージプロテクターBESTは、サージによる衝撃から保護します：

A. 電磁妨害。

B. 停電。

C. たるみとスパイク

D. 電圧の低下。

回答を見る

正解: A

質問 #54

ウイルスは通常、どのような主要部分から構成されているか（3つ選べ）：

A. 「ペイロード」の配信を起動するトリガーとなる「他のファイルに感染し、複製することを可能にするメカニズム」。

B. ペイロード

C. 署名

D. 選択肢のどれでもない。

回答を見る

正解: B

質問 #55

公衆回線を通じてホットサイトにネットワーク接続する場合のディザスターリカバリー計画には、以下のようなものが含まれる可能性が高い：

A. 存在点の数を最小限に抑える

B. 新規専用線取得契約

C. そのネットワークの顧客との相互協定

D. プライベート仮想回線のリダイレクト

回答を見る

正解: AB

質問 #56

次の実装モードのうち、インターネットに接続するアウトバウンド・データに最も大きなセキュリティを提供するのはどれか？

A. 認証ヘッダー(AH)+カプセル化セキュリティペイロード(ESP)によるトランスポートモード

B. セキュア・ソケット・レイヤー（SSL）モード

C. AH+ESPによるトンネルモード

D. トリプルDES暗号化モード

回答を見る

正解: C

質問 #57

マルチプラットフォーム、マルチサイトのクライアント／サーバー環境におけるアクセス制御で最も難しい点は何ですか？

A. 少数のホストでのみ有効な新しいユーザIDの作成

B. すべてのプラットフォームにおける一貫性の維持

C. ローカルユーザーをローカルプラットフォーム上の必要なリソースに制限する。

D. ホストサーバー上の必要なリソースへのローカルユーザーのアクセス制限

回答を見る

正解: AB

質問 #58

複雑なIS環境において、データオーナーが行うべきタスクはどれか。

A. 技術データベースのメンテナンスを行う。

B. 必要に応じてデータの復元を行う。

C. データの分類を定期的に見直す。

D. バックアップデータの有効性をテストする。

回答を見る

正解: A

質問 #59

規制要件により長期間保持する必要がある機密データのバックアップソリューションを評価する上で、最も重要な基準はどれか。

A. フルバックアップウィンドウ

B. メディア費用

C. 復元ウィンドウ

D. メディアの信頼性

回答を見る

正解: A

質問 #60

ネットワーク性能に関する次の用語のうち、送信元から宛先に到達するまでにパケットが経験する可能性のある遅延を指すものはどれか。

A. 帯域幅

B. スループット C

C. D

回答を見る

正解: B

質問 #61

コンピュータ・フォレンジックの調査において、ストレージ内のデータのビット単位のコピーを取得する主な理由は何ですか？

A. 調査結果を文書化する

B. 残留データを得るために

C. データおよびソースコードの詳細を入手する

D. データを管理された場所に転送する

回答を見る

正解: C

質問 #62

次の侵入検知システム（IDS）のうち、ネットワーク上の活動やトラフィックの一般的なパターンを監視し、データベースを作成するものはどれか。

A. 署名ベース

B. ニューラルネットワークベース

C. 統計に基づく

D. ホストベース

回答を見る

正解: S

質問 #63

ITガバナンス導入の優先分野を決定する際に、最も考慮すべきはどれか。

A. プロセスの成熟度

B. パフォーマンス指標

C. 事業リスク

D. 保証報告書

回答を見る

正解: A

質問 #64

VoIPテレフォニー・システムを独占的に使用している組織にとって、接続された電話を監視されていない公共の場所に放置することの最大の懸念は、その可能性である：

A. アナログのローカル交換キャリアで使用する場合の接続性の問題

B. サービスの盗難や金銭的損失につながる不正使用

C. マルウェアの侵入によるネットワーク侵害

D. 高価な電子機器の盗難または破壊

回答を見る

正解: A

質問 #65

ファイルサーバーにRAIDレベル1（Redundant Array of Inexpensive Disks）を導入する主な目的は以下の通りです：

A. パフォーマンスを向上させる。B

B. C

C. D

回答を見る

正解: A

質問 #66

データセンターにおいて、物理的な鍵を電子入力システムに置き換える主な利点はどれか。

A. 監査証跡の作成

B. データマイニングが可能

C. コンプライアンスの徹底

D. コスト削減

回答を見る

正解: A

質問 #67

次のうち、実体関係図で判断できるのはどれか。

A. データオブジェクト間のリンク

B. 外部事象の結果としてシステムがどのように振る舞うか。

C. D

回答を見る

正解: E

質問 #68

ISの経営陣は、現在の単一サーバー・ベースのローカル・エリア・ネットワーク（LAN）を、異なるオペレーティング・システムが稼動する相互接続された3台のサーバーに置き換えることを決定した。古いサーバー上の既存のアプリケーションとデータは、新しいサーバー上に排他的に分散されている。その結果、次のようなことが起こる可能性が高い：

A. 情報の開示

B. マルチプル認証

C. データの不完全性。

D. データが利用できない。

回答を見る

正解: A

質問 #69

品質マネジメントシステムのレビューにおいて、IS監査員が最も関心を持つべきものはどれか。

A. 品質マネジメントシステムには、IT要員のトレーニング記録が含まれる。

B. マイナーなビジネスプロセスのアクションを文書化する記録がない。

C. 重要な品質チェックリストは、品質マネジメントシステムの外部で管理されている。

D. 品質マネジメントシステムにおいて、指標が十分に表現されていない。

回答を見る

正解: E

質問 #70

ディープ・パケット・インスペクションでは、次のOSIレイヤーのどれが関係しますか？

A. レイヤ2～レイヤ7

B. レイヤ3～レイヤ7

C. レイヤー2からレイヤー6

D. レイヤ3～レイヤ6 E

E. F

回答を見る

正解: D

質問 #71

WEPに対するWPAの大きな改良点の1つは、システムの使用に応じて動的にキーを変更するプロトコルの使用である。これはどのようなプロトコルですか？

A. スキップ

B. RKIP C

C. D

D. F

回答を見る

正解: D

質問 #72

中小規模の組織において、インターネット経由でプライベート・ネットワークを接続する方法として、最も安全で経済的なものはどれか。

A. 仮想プライベートネットワーク

B. 専用線

C. 専用線 D

回答を見る

正解: B

質問 #73

ある組織が、レガシーシステムを置き換えるために新しいシステムを導入しようとしている。次の変換手法のうち、最も大きなリスクを生むのはどれですか？

A. パイロット

B. パラレル

C. ダイレクト・カットオーバー

D. 段階的

回答を見る

正解: A

質問 #74

侵入を最もよく検知するコントロールはどれか。

A. ユーザーIDとユーザー権限は、認可された手続きによって付与される。B

B. C

C. D

回答を見る

正解: C

質問 #75

バイオメトリック・システムの精度の指標は以下の通りである：

A. システムの応答時間。

B. 登録時間

C. 入力ファイルのサイズ

D. 誤認識率。

回答を見る

正解: A

質問 #76

新しいアプリケーション・システムの継続計画を開始する最適な時期は？

A. 実施直後

B. システム保守グループに引き継ぐ直前

C. 設計段階

D. ユーザーテスト成功後

回答を見る

正解: C

質問 #77

VoIP通信に関して、IS監査人が考慮すべき最も重要な問題はどれか。

A. サービスの継続性

B. ネットワークの均質性

C. 否認防止

D. アイデンティティ管理

回答を見る

正解: C

質問 #78

組織の事業継続計画（BCP）の複雑さによっては、事業継続と災害復旧のさまざまな側面に対処するために、複数の計画のセットとして計画が策定されることがあります。このような環境では、次のことが不可欠です：A. 各計画は、互いに整合性がとれていること。

A. B

B. C

C. D

回答を見る

正解: A

質問 #79

必要な規制要件が組織の国境を越えたデータ保護ポリシーで確実に対処されるようにするための最初のステップは、次のうちどれでしょうか？

A. リスクアセスメントの実施

B. ギャップ分析の実施

C. 関係者インタビューの実施

D. ビジネスインパクト分析を行う

回答を見る

正解: A

質問 #80

「今日、コンピュータ・セキュリティは、主に「予防的」な対策から成り立っている。

A. その通り

B. 信頼されたネットワークでのみ有効

C. 信頼されていないネットワークでのみ有効

D. 偽

E. 選択肢のどれでもない。

回答を見る

正解: A

質問 #81

IS環境で効果的な変更管理が実施されていることを保証する最善のものはどれか。A. アプリケーションへのアクセスに関するユーザー承認手順が確立されている。

A. B

B. C

C. D

回答を見る

正解: B

質問 #82

電子メール・メッセージの信憑性と機密性は、BESTは、メッセージを使用して署名することによって達成される：

A. 送信者の秘密鍵を使い、受信者の公開鍵でメッセージを暗号化する。

B. 送信者の公開鍵を使い、受信者の秘密鍵でメッセージを暗号化する。

C. 受信者の秘密鍵と送信者の公開鍵を使ってメッセージを暗号化する。

D. 受信者の公開鍵を使い、送信者の秘密鍵でメッセージを暗号化する。

回答を見る

正解: C

質問 #83

ほとんどのトロイの木馬プログラムは、以下のような方法で拡散される：

A. Eメール。

B. MP3。

C. MS Office。

D. ワードテンプレート。

E. 選択肢のどれでもない。

回答を見る

正解: B

質問 #84

ある小売企業の倉庫従業員は、破損または紛失した在庫品の調整を在庫システムに入力することで、在庫品の盗難を隠すことができた。小売業において、このような不正行為を防止するために、どのような管理が有効であったでしょうか？

A. 在庫トランザクションの有効性の編集チェック

B. 取引の入力に対する個別の承認

C. ロスト・ストック・ラインの予定外の監査

D. 調整取引の統計的サンプリング

回答を見る

正解: D

質問 #85

次の暗号化/復号化手順のうち、送信者または受信者のいずれかによる機密性、メッセージの完全性、および否認防止を達成する保証が最も大きいのはどれか。

A. 受信者は秘密鍵を使って秘密鍵を復号する。

B. 暗号化されたプレハッシュコードとメッセージは、秘密鍵を使って暗号化される。

C. 暗号化されたプレハッシュコードは、送信されるメッセージから数学的に導き出される。

D. 受信者は、認証局で検証された送信者の公開鍵を使用して、プレハッシュ・コードを復号する。

回答を見る

正解: A

質問 #86

オンライン・バンキング・アプリケーションにおいて、個人情報の盗難を防ぐのに最も適しているのはどれでしょうか？A. 個人パスワードの暗号化

A. B

B. C

C. D

回答を見る

正解: A

質問 #87

ある IS 監査人は、同じ組織内のデータ処理部門で管理職を引き受けるつもりである。しかし、その監査人は現在主要なアプリケーションの監査に取り組んでおり、まだ報告書を完成させていません。次のうち、IS 監査人が取るべき最良の手段はどれか。

A. そのポジションで仕事を開始し、アプリケーションオーナーにジョブチェンジを知らせる。

B. すぐにそのポジションに就く。

C. この問題を適切な当事者に開示する。

D. 開示せずに監査を完了し、そのポジションに就く。

回答を見る

正解: ABC

質問 #88

データ保存の慣行を損なうことなくデータ保存を最適化する戦略BESTはどれか。

A. 電子メールで送信される添付ファイルのサイズ制限

B. 1年以上前のメールを自動的に削除する

C. 30日後にメールを仮想メール保管庫に移動する

D. 大容量の電子メールをフラッシュドライブに保存することを従業員に許可する。

回答を見る

正解: D

質問 #89

リレーショナル・データベースのビジネス情報の更新や削除を制限する論理アクセス制御を提供する際に使用されるものはどれか。

A. トリガー

B. 見る

C. 参加

D. 主キー

回答を見る

正解: A

質問 #90

データ分類の主な目的はどれか。

A. データへのアクセス権を決定する

B. データ保護の基礎を提供する

C. 暗号化技術の選択

D. データの完全性を確保する

回答を見る

正解: A

質問 #91

2つのシステム間の情報交換にウェブサービスを使う最大の利点は、次のとおりである：

A. 安全な通信。

B. パフォーマンスの向上C

C. D

回答を見る

正解: A

質問 #92

BCPをレビューするIS監査人が最も関心を持つべきものはどれか。

A. 災害レベルは、被災した機能の範囲に基づいているが、期間には基づいていない。

B. 低レベルの災害とソフトウェア・インシデントの違いは明確ではない。

C. 全体的なBCPは文書化されているが、詳細な復旧手順は明記されていない。

D. 災害宣言の責任は特定されていない。

回答を見る

正解: A

質問 #93

ファイアウォールを導入する際に最も起こりやすいエラーは、次のようなものだ：

A. アクセスリストの設定が正しくない。

B. ソーシャル・エンジニアリングによってパスワードを漏洩させる。

C. ネットワーク内のコンピューターにモデムを接続している。D

回答を見る

正解: C

質問 #94

セキュリティポリシーが業務全体に適用されていることを最も確実に保証するのはどれか。

A. 組織基準は正式に受け入れられることが必要である。

B. 組織標準は技術的管理によって強制される。

C. 組織基準は意識向上トレーニングに含まれる。

A.

D. 組織基準は業務手順書に文書化されている。D 経営陣は、IT インフラストラクチャの変更を必要とする可能性のある新規事業の承認プロセスに、コンプライアンスマネージャーを含めることを決定した。このアプローチの最も大きな利点はどれか。

E.

A. セキュリティ侵害インシデントは初期段階で特定できる。

F. B

G. C

D. 外部利害関係者に対するプロセス説明責任が改善される。

回答を見る

正解: D

質問 #95

不十分な場合、サービス妨害攻撃の最も可能性の高い要因はどれか？

A. ルーターの設定とルール

B. 内部ネットワークの設計

C. ルーターシステムソフトウェアの更新

D. 監査テストとレビュー手法

回答を見る

正解: A

質問 #96

災害復旧計画（DRP）のテストが成功したかどうかを判断する上で、最も重要な活動はどれか。

A. キーパーソンの参加評価

B. バックアップデータセンターでのテスト

C. 事前に設定された試験目的が達成されたかどうかの分析

D. オフサイトバックアップファイルによるテスト

回答を見る

正解: A

質問 #97

適切なリカバリ/リスタート手順が存在するかどうかを判断するのに最適な手順は、次のうちどれですか?A. プログラムコードのレビュー

A. B

B. C

C. D

回答を見る

正解: A

質問 #98

製造プログラムに対する認可された修正に関連する管理は、BESTによってテストされる：

A. 新しいプログラムを実施するための認可だけをテストする。

B. 実行プログラムからの変更を、最初の変更要求までさかのぼってトレースする。

C. プログラムで実際に変更されたソースコードの行だけをレビューする。

D. 最初の変更要求から実行可能プログラムまでの変更をトレースする。

回答を見る

正解: A

質問 #99

事業継続マネジメントのライフサイクルにおいて、最も早期に実施すべきことはどれか。

A. 事業継続手順の定義

B. 重要なビジネスプロセスの特定

C. トレーニングと意識向上プログラムの開発

D. 脅威とリスクアセスメントの実施

回答を見る

正解: B

質問 #100

データを適切に分類するために、最初に確立する必要があるのはどれか？

A. データ保護方針

B. データ分類のフレームワーク

C. データ資産目録

D. データ資産保護基準

回答を見る

正解: C

質問 #101

組織は、従業員からの電子メールの受信者が、以下の方法で送信者の身元を認証できるようにすることができる：

A. すべての電子メールメッセージに電子署名する。

B. すべての電子メールメッセージを暗号化する。

C. すべての電子メール・メッセージを圧縮する。D

回答を見る

正解: D

質問 #102

ソフトウェア・テストにボトムアップ・アプローチとトップダウン・アプローチを使い分ける利点は、以下の通りである：

A. インターフェイスエラーがより早く検出される。

B. システムに対する信頼が早期に達成される。

C. 重要なモジュールのエラーがより早く検出される。D

回答を見る

正解: C

質問 #103

デジタル著作権管理(DRM)アプリケーションをレビューするIS監査人は、次のどの技術の広範な使用を発見することを期待すべきか？

A. デジタル署名

B. ハッシュ

C. 構文解析

D. ステガノグラフィ

回答を見る

正解: C

質問 #104

IS監査人は、事業継続計画（BCP）をレビューすることによって、組織の事業継続計画（BCP）が有効であることを検証することができる：

A. 業界のベストプラクティスとのBCPの整合。

B. IS およびエンドユーザー担当者が実施した事業継続テストの結果。

C. オフサイト施設、その内容、セキュリティおよび環境管理。

D. BCP活動の年間財務コストと、計画の実施によって期待される利益との比較。

回答を見る

正解: A

質問 #105

不正アクセスに対して最も安全な伝送メディアはどれか？

A. 銅線 B

B. C

C. D

回答を見る

正解: C

質問 #106

パスワードスニッフィングを使ったインターネットベースの攻撃は可能である：

A. ある当事者が、あたかも別の当事者であるかのように振る舞うことができる。

B. 特定のトランザクションの内容に変更を加える。

C. 独占情報を含むシステムへのアクセスに使用される。

D. その結果、請求システムや取引処理契約に大きな問題が生じる。

回答を見る

正解: A

質問 #107

ワイドエリアネットワーク(WAN)の使用状況を確認したところ、マスタデータベースとスタンバイデータベースを同期的に接続しているサイト間の通信回線のトラフィックが、回線容量の96%でピークに達していることが判明した。IS監査人は次のように結論づけるべきである：

A. 短期間のサービスロスをもたらすパターンが出現するかどうかを判断するための分析が必要である。

B. 飽和状態に達していないため、WAN容量は最大トラフィック需要に対して十分である。

C. そのラインは直ちに、約85パーセントの飽和度を提供する、より大きな容量のものに交換されるべきである。

D. 帯域幅の消費を平準化するために、トラフィック要求を減らすか、すべてのサービス時間帯に分散するようユーザーに指示する必要があります。A

回答を見る

正解: C

質問 #108

重要なソフトウェア・アプリケーションを置き換える場合、ビジネスプロセスが中断するリスクが最も低いのはどれか。

A. 並列実装

B. 試験的実施

C. インクリメンタル導入

D. ビッグバンの実現

回答を見る

正解: B

質問 #109

次のどれが減少すれば、情報セキュリティ管理のパフォーマンスが向上したことになりますか？説明説明／参照ITセキュリティ意識向上トレーニング日数

A. B

B. C

C. D

回答を見る

正解: A

質問 #110

次のうち、未知の悪意ある攻撃を発見するのに最も効果的なセキュリティテスト技法はどれか。

A. 脆弱性テスト

B. リバースエンジニアリング

C. 侵入テスト

D. サンドボックス

回答を見る

正解: A

質問 #111

インターネットで送信される情報の機密性を保証するものはどれか。

A. デジタル署名

B. デジタル証明書 C

C. D

回答を見る

正解: D

質問 #112

機密データの入ったハードディスクが修復不可能なほど損傷しています。ハードディスクに保存されているデータへのアクセスを防ぐために、ハードディスクに何をすべきか。

A. ハードディスクをランダムなOsとIsに書き換える。B

B. C

C. D

回答を見る

正解: A

質問 #113

IS監査人が、DBAが本番データへの読み取りと書き込みのアクセス権を持っていることを発見した。IS監査人は次のことを行うべきである：

A. DBAアクセスを一般的な慣習として受け入れる。

B. DBA機能に関連する統制を評価する。

C. 本番データへのDBAのアクセス権を直ちに剥奪するよう勧告する。

D. DBAによって承認されたユーザーアクセス権限を確認する。

回答を見る

正解: D

質問 #114

パスワードが文字と数字の組み合わせであることを要求するセキュリティポリシーの遵守を保証するために、IS監査人は次のことを推奨すべきである：

A. 会社の方針を変更する。

B. パスワードは定期的に変更される。

C. 自動パスワード管理ツールを使用する。

D. セキュリティ意識向上トレーニングを実施する。

回答を見る

正解: B

質問 #115

ある IS 監査人が、アジャイル開発プロジェクトにおける統制の成果をレビューしている。監査人が考慮すべき最も関連性の高い証拠はどれか。

A. 未解決作業の進捗報告

B. 製品バックログ

C. 失敗したビルドの数

D. スクラムチームの構成

回答を見る

正解: A

質問 #116

フォールトトレランスは、次のどの種類のコンピュータシステムで特に求められる機能か：

A. デスクトップ・システム

B. ラップトップ・システム C

C. D

D. E

回答を見る

正解: B

質問 #117

あるIS監査人が、IT設備のアウトソーシング契約をレビューしている。次のうち、監査人が最も懸念すべきものはどれですか？

A. アクセス制御の要件

B. ハードウェア構成

C. D

回答を見る

正解: A

質問 #118

IS管理部門は最近、組織内でのモバイルデバイスの使用の増加に対応するため、既存の有線LAN（ローカルエリアネットワーク）を無線インフラストラクチャに置き換えた。これにより、次のどの攻撃のリスクが高まるか？

A. ポートスキャン

B. バックドア

C. マン・イン・ザ・ミドル D

回答を見る

正解: A

質問 #119

ロケ地3a、1d、3dについて、図によると、線が開通し、活動しているように見えるハブがある。これが事実であると仮定して、この弱点を軽減するためにどのような管理が推奨されるでしょうか？

A. インテリジェント・ハブ

B. ハブの物理的セキュリティ

C. 物理的セキュリティとインテリジェント・ハブ

D. これは弱点ではないので、管理は必要ない。

回答を見る

正解: C

質問 #120

インターネット・サイトに対する分散型サービス拒否（DDOS）攻撃は、通常、ハッカーによって次のどれを使って引き起こされるか？

A. 論理爆弾

B. フィッシング

C. スパイウェア

D. トロイの木馬

回答を見る

正解: A

質問 #121

次の暗号化方式のうち、正しく使用すればほとんど破られないことが証明されているものはどれか？

A. キー・ペア

B. オークリー

C. 証明書

D. 3-DES

E. ワンタイムパッド

F. どれにも当てはまらない

回答を見る

正解: B

質問 #122

ウェブサイト証明書の第一の目的は、以下のとおりである：

A. 閲覧するウェブサイトの認証。B

B. C

C. D

回答を見る

正解: A

質問 #123

業務システムの開発をアウトソーシングすることは、損失をもたらす可能性が最も高い：

A. 戦略的方向性をコントロールする。

B. 最終製品に対する説明責任。

C. 社内コンピテンシー

D. ITセキュリティの責任

回答を見る

正解: B

質問 #124

データ分類プロジェクトを実施する際、情報セキュリティ管理者は以下のことを行うべきである：

A. 情報を批判的かつ慎重に扱う

B. 情報所有者の特定

C. 情報管理者を特定する

D. 情報へのアクセス権限を割り当てる

回答を見る

正解: B

質問 #125

データ分類プログラムを開始する最初のステップはどれですか？

A. リスク選好度評価

B. データ資産のインベントリデータ所有権の割り当て感度レベルの割り当て

回答を見る

正解: C

質問 #126

災害復旧計画（DRP）をテストするための以下の手順のうち、最も頻繁に使用すべき手順はどれか。

A. プライマリコンピューティング施設の予告なしのシャットダウン。

B. 文書化されたバックアップおよびリカバリ手順のレビュー

C. オフサイトデータバックアップを使用したセカンダリサイトでのテスト

D. B

E.

A. バックアップスタッフによるコンピューターサイトへのアクセス。

F. B

G. C

D. 消火設備。

回答を見る

正解: C

質問 #127

組織のネットワーク内部の不正を検知するための最も効果的なコントロールは、以下の通りである：

A. 侵入検知システム（IDS）を導入する。

B. 二要素認証を適用する

C. アクセスログの確認

D. 職務の分離

回答を見る

正解: D

質問 #128

堅牢なデータ・セキュリティ・プログラムを開発するために、まず最初に取るべき行動は以下の通りである：

A. モニタリングの実施

B. データ損失防止対策の実施

C. 資産の目録を作成する D

回答を見る

正解: C

質問 #129

秘密鍵システムのセキュリティ・レベルは、その数によって決まる：

A. 暗号化キービット。

B. メッセージの送信

C. キー

D. 使用チャンネル

回答を見る

正解: C

質問 #130

システムおよび／またはデータの完全性を検証するために必要な最大許容時間を決定する事業継続の用語はどれか。A. RPO

A. B

B. C

C. D

回答を見る

正解: C

質問 #131

侵入者がアプリケーションサーバーにアクセスし、システムログに変更を加えた。その変更を特定できるのは次のうちどれでしょうか。

A. 他のサーバーのシステムログをミラーリングする

B. ライトワンスディスクにシステムログを同時に複製する。

C. システムログを含むディレクトリの書き込み保護

D. システムログのバックアップをオフサイトに保存する

回答を見る

正解: D

質問 #132

組織がミッションクリティカルなアプリケーションを仮想環境に移行しようとするとき、最も重要なビジネス上の懸念事項は何でしょうか？仮想アプリケーションに関する組織の経験

A. B

B. C

C. D

回答を見る

正解: B

質問 #133

ビジネス・アプリケーションのオフショア開発を成功に導くBESTはどれか？

A. 厳格な契約管理

B. 詳細かつ正しく適用された仕様

C. 文化的、政治的な違いへの認識

D. 実施後のレビュー

回答を見る

正解: C

質問 #134

バッファオーバーフローの主な目的は、不正な操作だ：

A. システム・プロセッサー

B. ネットワーク・ファイアウォール C

C. D

D. E

回答を見る

正解: A

質問 #135

ある組織が最近、インフラを仮想化環境に移行した。ディザスタリカバリに関する最大の利点は、仮想化されたサーバーである：

A. バックアップの作成にかかる時間を短縮します。

B. 目標復旧時間（RTO）を短縮する。

C. サーバーの復旧に必要な人員を削減できる。

D. バックアップから復元するよりも、同じようなハードウェア上でより速く再作成できる。

回答を見る

正解: B

質問 #136

電気配線、空調設備、床はあるが、コンピュータや通信機器はないオフサイトの情報処理施設：

A. コールドサイト。

B. 暖かい場所。

C. ダイヤルアップサイト

D. 複製処理施設。

回答を見る

正解: A

質問 #137

バッファオーバーフローの可能性を効果的に最小化できる対策はどれか。

A. 十分な境界検査

B. 十分なメモリー

C. 十分な処理能力

D. 十分なコード注入

E. 選択肢のどれでもない

回答を見る

正解: A

質問 #138

次のうち、明確な予防策がない固有のリスクはどれか？

A. ピギーバック

B. ウイルス

C. データ・ディドゥリング

D. アプリケーションの不正シャットダウン

回答を見る

正解: B

質問 #139

クリティカルなビジネスアプリケーションのデータストレージは、安価なディスクの冗長アレイ（RAID）上にあるため、バックアップは必須ではないと考えられる。IS監査人は、RAIDのために適切なバックアップを推奨すべきである：

A. クリティカルなビジネスアプリケーションのデータストレージは、安価なディスクの冗長アレイ（RAID）上にあるため、バックアップは必須ではないと考えられる。IS監査人は、RAIDのために適切なバックアップを推奨すべきである：

回答を見る

正解: A

質問 #140

IT災害復旧対策が実施され、何年も定期的にテストされてきたある中規模組織は、正式な事業継続計画（BCP）を策定したばかりである。基本的なBCPの卓上訓練が成功裏に実施された。新しいBCPの妥当性を検証するために、IS監査人が次に実施することを推奨すべきテストはどれか。A. IT部門を含む全部門をコンティンジェンシー・サイトに移転する本格的なテスト

A. B

B. C

C. D

回答を見る

正解: B

質問 #141

複数の外部システムとのインタフェースを持つサードパーティアプリケーションにセキュリティ脆弱性を発見した後、相当数のモジュールにパッチが適用された。IS 監査員が推奨すべきテストはどれか。

A. ストレス

B. ブラックボックス

C. インターフェース

D. システム

回答を見る

正解: C

質問 #142

ある大組織では、ITリソースの優先順位付けが適切に行われていないため、重要なプロジェクトのIT納期が守られていません。この問題に対処するための推奨事項として、最も適切なものはどれか。

A. プロジェクト・ポートフォリオ管理を実施する。

B. 統合資源管理システムを導入する。

C. 包括的なプロジェクト・スコアカードを導入する。

D. IT戦略計画を再検討する。

回答を見る

正解: E

質問 #143

デジタル署名には、メッセージ・ダイジェストが含まれる：

A. メッセージが送信後に変更されたかどうかを示す。B

B. C

C. D

回答を見る

正解: A

質問 #144

リスクベース監査を実施する際、IS 監査人がリスクを識別し分類するために最も有効なものはどれか。

A. コントロールの枠組みを理解する

B. 包括的なリスクモデルの開発

C. ビジネス環境の理解 D

回答を見る

正解: A

質問 #145

サービス拒否攻撃がもたらすリスクで最も大きいものはどれか。A. 機密情報の漏洩

A. B

B. C

C. D

回答を見る

正解: D

質問 #146

コンピュータセキュリティインシデント対応チームの有効性を示す指標はどれか。

A. セキュリティインシデントごとの財務的影響

B. パッチが適用されたセキュリティ脆弱性の数 C

C. D

回答を見る

正解: C

質問 #147

事業継続計画の設計中、事業影響分析（BIA）は、重要なプロセスとサポートするアプリケーションを特定する。これは、主に以下の事項に影響する：

A. 事業継続計画を維持する責任。

B. リカバリーサイト・プロバイダーの選択基準

C. 回復戦略

D. キーパーソンの責任

回答を見る

正解: C

質問 #148

プロジェクトが目標期日に間に合うという合理的な保証を得るために、IS監査人が最も役立つ技法はどれか。

A. 状況報告書から得た完了率と完了までの推定時間を基に、実際の終了日を推定する。

B. プロジェクトの成果物の完成に携わった経験豊富なマネージャーやスタッフへのインタビューに基づく目標時期の確認。

C. 完了した作業パッケージと現在のリソースに基づく、全体的な終了日の外挿。

D. 現在のリソースと残りのプロジェクト予算に基づく終了予定日の算出

回答を見る

正解: D

質問 #149

ある組織では、クリティカルなシステムの復旧時間目標（RTO）はゼロに等しく、復旧時点目標（RPO）は1分に近い。これは、システムが許容できることを意味する：

A. データ損失は1分以内だが、処理は連続的でなければならない。

B. 1分間の処理中断はあるが、データ損失は許容できない。

C. 1分以上の処理中断。

D. 1分以上のデータ欠損と処理中断の両方が発生した。

回答を見る

正解: A

質問 #150

全社的な事業継続計画を構築しているとき、同じ脅威によって影響を受ける可能性のある2つの独立した業務システムがあることが判明した。災害発生時にシステム復旧の優先順位を決定する方法として、最も適切なものはどれか。

A. 各部門の事業計画の見直し

B. 各システムの停止に関連するコストの評価

C. 各システムの主要業績評価指標（KPI）の見直し

D. 回復時点目標（RPO）の比較

回答を見る

正解: D

質問 #151

インターネットからの電子メール・トラフィックは、ファイアウォール-1を経由してメール・ゲートウェイに送られる。メールはメールゲートウェイからファイアウォール-2を経由して、内部ネットワーク内のメール受信者に送られる。その他のトラフィックは許可されない。たとえば、ファイアウォールはインターネットから内部ネットワークへの直接のトラフィックを許可しない。侵入検知システム（IDS）はメールゲートウェイから発信されていない内部ネットワークへのトラフィックを検知する。IDSによって最初に起動されるアクションは次のとおりである：

A. 適切なスタッフに警告する。

B. ログにエントリーを作成する。

C. ファイアウォール2を閉じる。

D. ファイアウォール-1を閉じます。

回答を見る

正解: C

質問 #152

コントロールが適用される前に、特定の脅威と脆弱性のペアに対するリスクを決定することは、次のように表すことができる：

A. ある脅威が脆弱性を悪用しようとする可能性。

B. 脆弱性に対する管理のコストと有効性の関数

C. 脅威が脆弱性を悪用した場合の影響の大きさ

D. 脅威が脆弱性を悪用した場合の可能性と影響の関数。

回答を見る

正解: D

質問 #153

ハッキングの試みをブロックする可能性のあるものはどれか。

A. 侵入検知システム

B. ハニーポットシステム

C. 侵入防止システム

D. ネットワークセキュリティスキャナ

回答を見る

正解: A

質問 #154

社内のヘルプデスク手順がポリシーに準拠して実行されていることを検証するためのアプローチとして、最も適切なものはどれか。

A. ヘルプデスク手順のベンチマーク

B. エンドユーザーにインタビューする。

C. 閉じたチケットのサンプルをテストする。

D. ヘルプデスクのコール指標を評価する。

回答を見る

正解: A

すべての情報を見逃したくないですか？

100％合格！Cisco、PMP、CISA、CISM、AWS 模擬試験セール中！
今すぐ入手

CISA認定試験問題集, 公認情報システム監査人｜SPOTO

送信後に回答を表示する

すべての情報を見逃したくないですか？

100％合格！Cisco、PMP、CISA、CISM、AWS 模擬試験セール中！ 今すぐ入手

CISA認定試験問題集, 公認情報システム監査人｜SPOTO

送信後に回答を表示する

100％合格！Cisco、PMP、CISA、CISM、AWS 模擬試験セール中！
今すぐ入手