公認情報システム監査人（CISA）｜ドメイン5 情報セキュリティ・アクセス保護問題01

方針は事業・リスクに基づく方向性を示し、標準・手順・統制へ展開される必要がある。

情報所有者は価値、機微性、法的要件を理解し、分類と保護要件を決定する。

必要期間だけ保持し、法的保全や事業目的を満たした後は安全に廃棄する。

人事情報を起点に即時無効化することで退職後の不正アクセスを防ぐ。

RBACは職務ロールを介して権限を管理し、付与とレビューを標準化する。

特権利用を必要時に限定し、承認と追跡性を確保する。

知識要素と所持要素など異なる種類の認証要素を組み合わせる。

認証基盤が単一の重要点となるため、強固な認証、可用性、監視が必要である。

フェデレーションは信頼関係に基づき異なるドメイン間でID情報を連携する。

マントラップは前の扉が閉じ認証されるまで次の扉を開けず、共連れを抑止する。

暗号の安全性は鍵の生成、保管、配布、更新、失効、復旧管理に依存する。

DLPは内容や分類、通信経路などを基に機密情報の漏えいを制御する。

仮名化はリスクを下げるが、再識別可能性が残るため適切な保護が必要である。