CISM試験対策問題集・学習教材, 情報セキュリティ管理士

質問 #1

事故後レビューの最も重要な目的は、以下のとおりである：

A. プロセスを改善するための教訓を得る。

B. 継続的改善のためのプロセスを開発する。

C. セキュリティプログラム予算のビジネスケースを作成する。

D. 新しいインシデント管理ツールを特定する。

回答を見る

正解: A

質問 #2

重大な情報セキュリティインシデントが発生した後、情報セキュリティマネジャーが是正措置を決定するのに役立つものはどれか。

A. 事故費用の計算

B. 死後評価の実施

C. 証拠の保存

D. 影響度分析の実施

回答を見る

正解: A

質問 #3

構築／購入の意思決定に情報セキュリティ要件を盛り込まなかった場合、ほとんどの場合、以下のことが必要になる：

A. 運用環境における補償コントロール。

B. 製品が企業基準に適合していること。

C. より厳格なソースプログラム基準。

D. 運用プラットフォームのセキュリティスキャン

回答を見る

正解: D

質問 #4

ある部門のシステムが、情報セキュリティポリシーのパスワード強度要件に準拠していない状態が続いている場合、実施すべき最善の措置は次のとおりである：

A. 運営委員会に問題を提出する。

B. 影響分析を行い、リスクを定量化する。

C. 残りのネットワークからシステムを隔離する。

D. 経営幹部にリスクの受け入れを要請する。

回答を見る

正解: A

質問 #5

情報セキュリティ・プログラムは、以下の点に重点を置くべきである：

A. 同業他社でも行われているベストプラクティス。

B. 国際規格に成文化された解決策

C. リスクアセスメントで特定された主要なコントロール

D. 継続的なプロセス改善。

回答を見る

正解: D

質問 #6

情報セキュリティガバナンスの最も重要な要素はどれか。

A. 承認された情報セキュリティ戦略

B. 文書化された情報セキュリティポリシー

C. 包括的な情報セキュリティ意識向上プログラム

D. 適切な情報セキュリティ指標

回答を見る

正解: A

質問 #7

ある組織が、企業ウェブサイトのホスティングを外部のサービス・プロバイダーと契約する予定である。情報セキュリティ管理者にとって最も重要なことは、以下のことを確実にすることである：

A. サービスプロバイダーに対する監査で、重大な弱点は見つからなかった。

B. 契約には、組織の知的財産を保護するための秘密保持契約（NDA）が含まれている。

C. 契約では、サービスプロバイダーがセキュリティポリシーを遵守することを義務付けるべきである。

D. 第三者サービスプロバイダは、定期的に侵入テストを行っている。

回答を見る

正解: A

質問 #8

経営幹部が、新しい侵入検知システム(IDS)の購入を承認する前に、情報セキュリティマネージャーに正当性を問う。最善の行動は、次のようなものである：

A. 文書化された業界のベストプラクティス

B. 新しいIDSコントロールに対するギャップ分析。

C. ビジネスケース

D. ビジネスインパクト分析（BIA）。

回答を見る

正解: C

質問 #9

セキュリティ目標を見直し、事業部門全体のセキュリティの統合を確実にすることが、主にこの職務の焦点となる：

A. 経営陣

B. 最高情報セキュリティ責任者（CISO）

C. 取締役会

D. ステアリング委員会

回答を見る

正解: A

質問 #10

共有管理アカウントのパスワードを推測することによってデータベースが侵害され、顧客の機密情報が盗まれた。情報セキュリティ管理者は、次のうちどれを分析することで、この情報漏えいを検知できたか？

A. 無効なログオン試行

B. 書き込みアクセス違反

C. 同時ログオン

D. ファイアウォールのログ

回答を見る

正解: A

質問 #11

ハードディスク・ドライブのフォレンジック・イメージを作成する場合、次のうちどれを最初に行うべきでしょうか？

A. 画像を作成するためのフォレンジックソフトウェアツールを特定する。

B. チェーン・オブ・カストディ・ログを確立する。

C. ハードドライブを書き込み禁止装置に接続する。

D. ハードディスク・ドライブの内容の暗号化ハッシュを生成する。

回答を見る

正解: D

質問 #12

災害時にメディアと接する組織にとって、最も重要な考慮事項はどれか？

A. 権限を与えられた人物による特別に起草されたメッセージの伝達

B. 回復するまでコメントを拒否

C. メディアを当局に照会する

D. メディアへの損失と復興戦略の報告

回答を見る

正解: C

質問 #13

インシデント管理能力をアウトソーシングしているある組織が、未知の攻撃者による重大なプライバシー侵害を発見した。情報セキュリティ管理者の最も重要な行動はどれか。

A. アウトソーサーの対応計画に従う。

B. 適切な法執行当局に警告する。

C. 組織の対応計画を参照する。

D. プライバシー侵害をアウトソーサーに通知する。

回答を見る

正解: D

質問 #14

セキュリティー・テクノロジーは、第一に、その技術に基づいて選択されるべきである：

A. 事業リスクを軽減する能力

B. 業界誌での評価

C. 新技術の活用

D. 費用に見合った利益

回答を見る

正解: A

質問 #15

ある教育部門が、事前の承認なしに、無料のクラウドベースのコラボレーションサイトに登録し、従業員にそのサイトを使用するよう呼びかけました。情報セキュリティ管理者の対応として最も適切なものはどれか。

A. リスクアセスメントを実施し、影響度分析を行う。

B. リスク登録簿を更新し、情報セキュリティ戦略を見直す。

C. 上級管理職に活動を報告する。

D. サイトの一時使用を許可し、データ漏洩を監視する。

回答を見る

正解: D

質問 #16

サポート対象外のレガシーシステムからサポート対象システムへのデータ移行に伴うセキュリティリスクの管理プロセスにおいて、最初に実施すべきことはどれか。

A. 転送前に、影響を受けるシステムのバックアップを取る。

B. サイバー保険の適用範囲を拡大する。

C. レガシー環境にあるすべての情報資産を特定する。

D. 各資産の譲渡に責任を持つ所有者を割り当てる。

回答を見る

正解: B

質問 #17

集中型の情報セキュリティ管理の特徴はどれか。

A. 投与コストが高い

B. ポリシーの遵守

C. 事業部門のニーズとの整合性

D. リクエストの迅速な処理

回答を見る

正解: B

質問 #18

顧客のクレジットカード・データベースがハッカーに侵入された。この攻撃に対処するための最初のステップは次のとおりです：

A. 事件を確認する。

B. 経営幹部に通知する。

C. 封じ込め開始

D. 警察当局に通報する。

回答を見る

正解: B

質問 #19

効果的な情報資産分類プロセスを実現するのに最適なものはどれか。

A. 資産の復旧時間目標（RTO）要件の見直し

B. 監査結果の分析

C. 分類プロセスにセキュリティ要件を含める

D. 所有権の譲渡

回答を見る

正解: A

質問 #20

IT部門のデータベース管理者が管理している、データベースサーバー上の会計元帳データの適切な分類は、誰が決定すべきでしょうか？

A. データベース管理者（DBA）

B. 財務部門管理

C. 情報セキュリティ管理者

D. IT部門管理

回答を見る

正解: C

質問 #21

アプリケーションの開発に修正が加えられたときにセキュリティリスクが再評価されることを保証する最良のものはどれか。

A. 問題管理プロセス

B. 身元調査

C. 変更管理プロセス

D. ビジネスインパクト分析（BIA）

回答を見る

正解: B

質問 #22

変更管理プロセスの第一の焦点は、変更が確実に行われるようにすることである：

A. 許可されている。

B. が適用された。

C. 文書化されている。

D. テスト済み。

回答を見る

正解: C

質問 #23

情報セキュリティインシデントを検出する最も効果的な方法はどれか。

A. インシデント対応チームに対する定期的かつ最新のトレーニングの提供

B. 脅威と脆弱性への適切な対応方針の確立

C. インシデント対応プログラムの定期的なテストの実施

D. 脅威に対する認識とタイムリーな報告に関する教育と利用者

回答を見る

正解: B

質問 #24

トークンベースの認証を使用することで防止できる脅威は、次のうちどれですか？

A. ネットワーク上のパスワードスニッフィング攻撃

B. ネットワーク上のサービス拒否攻撃

C. クライアントに対するメイン・イン・ザ・ミドル攻撃

D. ネットワークのセッション盗聴攻撃

回答を見る

正解: D

質問 #25

高可用性を保証するeビジネスBESTのアーキテクチャはどれか。

A. 隣接するホットサイトと、重要データのミラーコピーを持つスタンバイサーバーの可用性。

B. ダウンしたシステムから代替システムへトランザクションを誘導するインテリジェント・ミドルウェア

C. トランザクションの迅速な受信と処理を可能にするシングル・ポイント・オブ・エントリー。

D. ユーザーのニーズを満たす別のeビジネスのウェブサイトへの自動フェイルオーバー

回答を見る

正解: A

質問 #26

不正ユーザが加盟店のデータベースサーバにアクセスし、顧客のクレジットカード情報を入手しました。不正侵入行為を保護するための最初のステップはどれですか？

A. サーバーをシャットダウンし、電源を切る。

B. すぐにサーバーのハードディスクを複製する。

C. サーバをネットワークから隔離する。

D. データベースのログファイルを保護されたサーバーにコピーする。

回答を見る

正解: D

質問 #27

組織内の情報分類プロセスにおける情報セキュリティ管理者の主な役割は何か。

A. 情報資産の分類構造の定義と批准

B. 組織の情報資産に適用する分類レベルの決定

C. 分類に従った情報資産の保護

D. 情報資産が適切に分類されているかの確認

回答を見る

正解: A

質問 #28

否認防止は、BESTを使うことで保証できる：

A. 配送経路のトレース。

B. 逆引き翻訳

C. 手に負えないチャンネル

D. デジタル署名。

回答を見る

正解: A

質問 #29

情報セキュリティマネジメントインフラストラクチャへの投資に関するビジネスケースには、以下を含めなければならない：

A. 提案されたインフラが認証されている証拠。

B. 必要とされるセキュリティアプリケーションの詳細。

C. 現在使用されているデータ管理方法

D. 適用される基準への不遵守が及ぼす影響。

回答を見る

正解: D

質問 #30

事業継続計画におけるアクションの優先順位を決定するために重要なプロセスはどれか。

A. ビジネスインパクト分析（BIA）

B. リスク評価

C. 脆弱性評価

D. ビジネスプロセスマッピング

回答を見る

正解: A

質問 #31

大規模な多国籍組織の従業員は、頻繁にさまざまな地理的な場所を移動します。このような場合、どのタイプの承認ポリシーが最も効果的ですか?

A. マルチレベル

B. アイデンティティ

C. 役割ベース

D. 裁量

回答を見る

正解: B

質問 #32

ある組織が、契約プログラマを多用するサードパーティに、多くのアプリケーション開発業務を外注している。サードパーティの契約プログラマが組織のセキュリティポリシーを遵守していることを最も確実に保証できるのは、次のうちどれでしょうか。

A. セキュリティポリシーの遵守について、毎年署名入りの合意を求める。

B. コンプライアンス違反に対する罰則を契約書に盛り込む。

C. 請負業者の活動について定期的なセキュリティ評価を実施する。

D. アプリケーションの脆弱性スキャンを定期的に実施する。

回答を見る

正解: C

質問 #33

アプリケーションサービスプロバイダのセキュリティ管理をレビューしているとき、情報セキュリティマネージャが、プロバイダの変更管理体制が不十分であることに気づいた。提供されているアプリケーションへの変更は、クライアントへの通知なしに突発的に発生することが多い。このプロバイダとのサービスを継続するか中止するかの決定を容易にするベストはどれか。

A. 顧客組織のリスク許容度とサービス・プロバイダーの災害復旧計画を比較すること。

B. 顧客組織のリスク選好度と、提供されるアプリケーションの重要度を比較する。

C. 顧客組織のリスク許容度とアプリケーションのダウンタイムの頻度を比較する。

D. 顧客組織のリスク選好度とベンダーの変更管理ポリシーを比較する。

回答を見る

正解: B

質問 #34

インシデント対応計画のエスカレーションプロセスを策定するときは、情報セキュリティマネージャは以下の事項を第一に考慮すべきである：

A. メディア報道。

B. 技術的リソースの利用可能性

C. インシデント対応チーム

D. 影響を受けるステークホルダー

回答を見る

正解: B

質問 #35

機密情報の不用意な開示の可能性を最も効果的に最小化できるのはどれか。

A. 最小特権の原則に従う

B. リムーバブルメディアの使用制限

C. データ分類ルールの適用

D. セキュリティポリシー違反に対する罰則の実施

回答を見る

正解: C

質問 #36

技術的統制への投資の承認を得るために、情報セキュリティマネジャーが取るべき行動として最も適切なものはどれか。

A. 費用便益分析を行う。

B. リスクアセスメントを実施する。

C. 被ばく係数を計算する。

D. ビジネスインパクト分析（BIA）を実施する。

回答を見る

正解: B

質問 #37

情報セキュリティ戦略策定における第一の目標は、次のとおりである：

A. セキュリティ指標とパフォーマンス監視を確立する

B. ビジネス・プロセス・オーナーの職務に関する教育を行う。

C. 法的および規制上の要件が満たされていることを確認する。

D. 組織の事業目標をサポートする。

回答を見る

正解: D

質問 #38

情報の分類は、それを決定するための基本的なステップである：

A. リスク分析の目的が達成されているかどうか。

B. 情報の所有権を持つのは誰か。

C. 取得すべきメトリクスのタイプ。

D. 使用すべきセキュリティ戦略。

回答を見る

正解: C

質問 #39

オンライン上の一般向けウェブサイトで消費者の個人情報を保護する方法として、最も適切なものはどれか。

A. 消費者のデータを転送中および静止状態で暗号化する。

B. 消費者データにマスキングポリシーを適用する。

C. 安全な暗号化トランスポート層を使用する。

D. オンラインアカウントに強力な認証を適用する。

回答を見る

正解: C

質問 #40

緊急時対応計画を策定する際、最も優先順位が高いのはどれか。

A. 重要データ

B. 重要インフラ

C. 従業員の安全

D. バイタル記録

回答を見る

正解: A

質問 #41

セキュリティ管理策を設計する際に、最も重要なことは、以下のことである：

A. リスクベースのアプローチを適用する。

B. 予防的管理に重点を置く。

C. コントロールに関連するコストを評価する。

D. 機密情報に管理策を適用する。

回答を見る

正解: A

質問 #42

ITインフラに影響を及ぼし、顧客データの損失を引き起こすような重大なセキュリティ侵害への対応プロセスを確立する場合、誰を含めることが最も重要か？

A. 統制の不備を特定するための独立監査人

B. 損害を算定する損害査定の専門家

C. 証拠管理のための科学捜査の専門家

D. 攻撃を検証するペネトレーション・テスター

回答を見る

正解: B

質問 #43

情報セキュリティ運営委員会のメンバーを選定する際に、最も重要な考慮事項はどれか。

A. 部門横断的な構成

B. 情報セキュリティの専門知識

C. 組織での在職期間

D. ビジネスの専門知識

回答を見る

正解: B

質問 #44

障害の結果、ITシステムに緊急の変更が加えられた。この組織の情報セキュリティマネジャーが最も懸念すべきことはどれか？

A. この変更には適切なリスク評価が含まれていなかった。

B. 実施後に変更の文書化を行った。

C. 情報セキュリティ管理者は、実施前にその変更をレビューしなかった。

D. 運用チームは、回帰テストを行わずに変更を実施した。

回答を見る

正解: A

質問 #45

ある組織が、セキュリティ情報・イベント管理（SIEM）システムの導入を決定した。その組織にとって最も重要なことは、次のことを検討することである：

A. 業界のベストプラクティス。

B. データの所有権

C. ログソース

D. 脅威の評価

回答を見る

正解: B

質問 #46

次のうち、是正処置の例はどれか？

A. サービス拒否(DoS)攻撃への対応時に受信トラフィックを迂回させる。

B. 外部から内部ネットワークに入る前のネットワークトラフィックのフィルタリング

C. インバウンド・ネットワーク・トラフィックのウイルス検査

D. 受信ネットワークトラフィックのログ

回答を見る

正解: C

質問 #47

組織の情報セキュリティ・プログラムを他のリスク管理活動や統制活動と連携させる場合、最も重要なことは以下のことである：

A. 情報セキュリティガバナンスフレームワークを策定する。

B. 情報セキュリティ管理部門を最高リスク責任者に報告させる。

C. 十分な財源を確保する。

D. セキュリティをシステム開発ライフサイクルの中に統合する。

回答を見る

正解: D

質問 #48

セキュリティインシデント対応トレーニングを実施するための最も効果的なアプローチはどれか。

A. 実際のインシデント対応シナリオをシミュレートするロールプレイング演習を行う。

B. 業界内の実例を紹介するため、外部のコンサルタントを起用する。

C. 新スタッフのオリエンテーションにインシデント対応訓練を含める。

D. インシデント対応チームに実地訓練と指導を行う。

回答を見る

正解: A

質問 #49

リスク・アクション・プランに十分な資金が必要であるという意識を高める責任は誰にあるのか。

A. 最高情報責任者（CIO）

B. 最高財務責任者（CFO）

C. 情報セキュリティ管理者

D. 事業部経営

回答を見る

正解: C

質問 #50

あるグローバル企業が、2カ国のオフィス間で顧客情報データベースを共有する戦略を立てた。このような状況では、次のことを確実にすることが最も重要である：

A. データの共有は、両拠点における現地の法律および規制に準拠している。

B. データは転送中および静止時に暗号化される。

C. 守秘義務契約を締結する。

D. データを共有する2つの拠点でリスク補償が分割される。

回答を見る

正解: A

質問 #51

ある組織が、顧客の個人を特定できる情報（PII）を分類するために第三者を利用しています。データ漏えいの責任をサードパーティに問う最善の方法は何でしょうか？

A. 正式な業務記述書の中に、詳細な文書要件を含めること。

B. 要件の詳細な文書を含む正式な提案依頼書（RFP）を提出する。

C. 守秘義務契約書に双方の経営幹部が署名していることを確認する。

D. サービス・プロバイダーに、組織の利用規定への署名を求める。

回答を見る

正解: A

質問 #52

すべての重要な本番サーバーが最新のウイルス署名ファイルを利用していることを確認する最も良い方法はどれか。

A. 署名ファイルが最後にプッシュアウトされた日付を確認する。

B. 最近確認された良性ウイルスを使用して、隔離されているかどうかをテストする。

C. 最新の署名ファイルを調査し、コンソールと比較する。

D. 署名ファイルが最新であることをサーバーのサンプルで確認する。

回答を見る

正解: B

質問 #53

情報セキュリティマネジャーが、ある規制が組織の人事システムに及ぼす影響を検討している。次に取るべき行動は以下のとおりである：

A. コンプライアンス要件のギャップ分析を行う。

B. 不履行に対する罰則を課す。

C. 組織の直近の監査報告書を確認する。

D. コンプライアンスのコストを決定する。

回答を見る

正解: A

質問 #54

インシデント通知プロセスの評価に最も適切なメトリクスは、次のうちどれですか？

A. 報告された事故1件当たりのダウンタイムの平均総コスト

B. 報告期間ごとの平均インシデント件数

C. 対応から解決までの経過時間

D. 検知、報告、対応までの経過時間

回答を見る

正解: C

質問 #55

解雇された従業員のシステムアクセスの削除を開始する際に、最も重要な機能は次のうちどれですか？

A. 法的事項

B. 情報セキュリティ

C. ヘルプデスク

D. 人的資源

回答を見る

正解: B

質問 #56

不正行為の調査中に電子的に保存された情報が要求された場合、次のうちどれを最優先すべきか？

A. データ取得の責任分担

B. データの場所を特定し、データの完全性を保持する。

C. 科学的に健全な画像を作成する

D. 影響を受けるすべての当事者に訴訟保留を発行する

回答を見る

正解: C

質問 #57

IT機器が組織のセキュリティ基準を満たしていることを確認するために、最も効率的なアプローチは次のとおりです：

A. 機器配備時のセキュリティを評価する。

B. ユーザー受入テスト中にコンプライアンスを確認する。

C. すべての新しい機器のリスクを評価する。

D. 承認された機器リストを作成する。

回答を見る

正解: A

質問 #58

個人顧客情報に影響するセキュリティインシデントの報告を義務付ける新しい規制が発表された。情報セキュリティマネジャーが最初に取るべき行動はどれか。

A. 現在のセキュリティポリシーを見直す。

B. 新しい規制について経営幹部に知らせる。

C. セキュリティインシデント管理プロセスを更新する。

D. ビジネスへの影響を判断する。

回答を見る

正解: A

質問 #59

組織のサーバーのセキュリティレビュー中に、人事（HR）の機密データを含むファイルサーバーが、すべてのユーザーIDからアクセス可能であることが判明した。最初のステップとして、セキュリティ管理者は以下のことを行うべきである：

A. 証拠としてサンプルファイルをコピーする。

B. データが入っているフォルダのアクセス権を削除する。

C. データ所有者にこの状況を報告する。

D. 人事チームに、ファイルのアクセス権を適切に管理するためのトレーニングを行う。

回答を見る

正解: B

質問 #60

情報セキュリティ戦略の主要な基礎となるべきものはどれか。

A. 組織のビジョンと使命

B. 情報セキュリティポリシー

C. 包括的なギャップ分析の結果。

D. 監査および規制要件

回答を見る

正解: A

質問 #61

ある組織が、従業員が所有するスマートフォンへの重要な機密情報の保存と使用を許可している。次のうち、最も適切なセキュリティ管理策はどれか。

A. ユーザーによる組織データのバックアップの要求

B. リモートワイプ権限の確立

C. スマートフォンの使用頻度の監視

D. セキュリティ意識向上トレーニングの開発

回答を見る

正解: A

質問 #62

インシデント対応チームの主要な機能はどれか。

A. ビジネスインパクト評価を提供する

B. 効果的なインシデント軽減を提供する

C. クリティカル・インシデントの連絡窓口を一本化する。

D. ゼロデイ脆弱性のリスク評価を提供する。

回答を見る

正解: C

質問 #63

情報セキュリティポリシーの中で、最も重要なものは何か。

A. 成熟度

B. ベストプラクティス

C. 経営目標

D. ベースライン

回答を見る

正解: B

質問 #64

組織のセキュリティプログラムがビジネス目標と整合していることを確認する上で、最も効果的なのはどれか。

A. セキュリティ方針は、最高情報責任者によって検討され、承認される。

B. セキュリティ戦略は、組織の執行委員会がレビューし、承認する。

C. 組織の取締役会に、専任の情報セキュリティ専門家がいる。

D. プロジェクトマネージャは、毎年情報セキュリティ意識向上トレーニングを受ける。

回答を見る

正解: A

質問 #65

情報リスクを継続的に監視する最も重要な理由はどれか。

A. リスクプロファイルは時間とともに変化する可能性がある。

B. 管理の有効性を検証することができる。

C. コントロールのコストを最小限に抑えることができる。

D. リスクアセスメントの誤りを特定することができる。

回答を見る

正解: D

質問 #66

データ漏洩につながるセキュリティ侵害が発生した場合、財務上の影響を軽減するために最も効果的なのはどれか。

A. 事業継続計画

B. バックアップとリカバリ戦略

C. データ損失防止（DLP）ソリューション

D. インシデント対応計画

回答を見る

正解: B

質問 #67

回復時点目標（RPO）が必要なのは、次のうちどれですか？

A. 情報セキュリティ計画

B. インシデント対応計画

C. 事業継続計画

D. 災害復旧計画

回答を見る

正解: A

質問 #68

従業員ポータルでSQLインジェクションを防ぐ最も効果的な方法はどれか。

A. データベーススキーマを再構成する

B. データベースの参照整合性を強制する

C. コードレビューの実施

D. ネットワーク侵入テストの実施

回答を見る

正解: A

質問 #69

サイバーセキュリティインシデントへの対応が成功した後の事後レビューで、最も重視すべきはどれか。

A. どの管理不備が事故につながったか

B. インシデント対応プロセスの実行方法

C. 利用された攻撃ベクトル

D. 業務が復旧したとき

回答を見る

正解: A

すべての情報を見逃したくないですか？

100％合格！Cisco、PMP、CISA、CISM、AWS 模擬試験セール中！
今すぐ入手

CISM試験対策問題集・学習教材, 情報セキュリティ管理士｜SPOTO

送信後に回答を表示する

すべての情報を見逃したくないですか？

100％合格！Cisco、PMP、CISA、CISM、AWS 模擬試験セール中！ 今すぐ入手

CISM試験対策問題集・学習教材, 情報セキュリティ管理士｜SPOTO

送信後に回答を表示する

100％合格！Cisco、PMP、CISA、CISM、AWS 模擬試験セール中！
今すぐ入手