SSCP - ISC

SSCPSSCP
/ Systems
Certified
Practitioner
/ SystemsSecurity
Security Certified
Practitioner
SSCP 7 ドメインガイドブック
SECURITY TRANSCENDS TECHNOLOGY®
SSCP 7 ドメインガイドブック
はじめに
情報セキュリティ実務担当者や専門家には幅広い知識とスキルが必要とされており、その知識とスキルを有している
ことが、セキュリティ実務担当者や専門家として認められる条件となっています。
情報セキュリティ実務担当者・専門家はどのような知識を有していればよいのかという一つの基準が、(ISC)2 が提案
している CBK（Common Body of Knowledge：共通知識分野）です。CBK はそれを理解していることを証明する資
格 SSCP と共に多くの国や企業、組織で認められたグローバルな内容として注目を浴びています。
本書では SSCP 認定保持者が知っておくべき 7 ドメインの詳細を紹介しています。
■ (ISC)2
とは
(ISC)2（International Information Systems Security Certification Consortium：アイエスシー・スクエア）は 1989 年
に設立された米国登録の NPO 法人です。本部は米国フロリダ州クリアウォーターにあり、ロンドン、香港、中国、
米国バージニア州ヴィエナに拠点を構えています。
情報セキュリティの共通言語を策定し、情報セキュリティ人材評価におけるゴールドスタンダードとなる認証制度を
開発、提供しています。あわせて、世界中の情報セキュリティ専門家を教育、認定することによって、CBK をグロー
バルでより良いものとし続けています。
■ SSCP
とは
SSCP（Systems Security Certified Practitioner）は、(ISC)2 が認定を行うベンダー・カントリーフリーの情報セキュリティ
資格です。SSCP は、情報セキュリティを専業とはしていないが、ネットワークやシステムの開発・運用などに従事し、
技術的な観点だけではなく、
「組織」という観点から情報セキュリティを理解し、情報セキュリティ専門家や経営陣
とコミュニケーションを図れることを目指す人材を認証します。また、情報セキュリティ専業で経験年数が少ない方
にとっては、より実践に近い内容をグローバルの標準に則った内容で理解していることを証明できる資格です。
継続して認定を受けるためには、毎年認定継続要件を満たす必要があります。認定継続要件の詳細については (ISC)2
の日本語 web サイトを参照してください。
（https://www.isc2.org/japan/sscp_maintenance.html）
ANSI（米国規格協会）より、ISO/IEC 17024 の認証を受けた厳正な資格開発、運用、運営、維持に加え、米国国防総
省のキャリアパスにおいて取得が義務付けられている資格の一つにも認定されており、情報セキュリティ＆ IT 実務
者がグローバルの共通言語と知識を保有している事を証明できる資格になっています。
■ CBK
とは
CBK は、(ISC)2 CBK 委員会が、各種認定試験の作成に先駆け、情報セキュリティ専門家が理解すべき知識を、国際規
模で収集し、分野（ドメイン）別に体系的にまとめたものです。
情報セキュリティの共通言語である CBK をベースとすることで、SSCP をはじめとする情報セキュリティ実務担当者
や専門家は、地域や専門分野を問わず、円滑なコミュニケーションが可能となります。CBK は毎年、世界各国の多数
のセキュリティのプロフェッショナルに定期的なヒアリング調査を行い、
「最新の知識」として更新、維持しています。
その中で SSCP に必要とされるものをまとめたのが SSCP CBK 7 ドメインであり、SSCP 認定試験の試験範囲として活
用されています。
(ISC)2 Copyright 2009-2016 ｜
はじめに
SSCP 7 ドメインガイドブック
目　次
はじめに
１
目次
２
本書の構成
３
SSCP CBK ７ドメインの関係
４
アクセス制御
５
セキュリティの運用と管理
８
リスクの特定、モニタリングと分析
１１
インシデントレスポンスとリカバリ
１５
暗号
１８
ネットワークと通信のセキュリティ
２１
システムとアプリケーションセキュリティ
２４
SSCP 受験から認定までの流れと認定維持
２７
目次
｜ (ISC)2 Copyright 2009-2016
SSCP 7 ドメインガイドブック
■本書の構成
本書は SSCP 7 ドメインにおける知識やスキルを体系的に提示しています。それぞれのドメインは以下のパートで構
成されています。
ドメインの説明とドメイン概念図
ドメインの全体像を提示するとともに、ドメインごとの要求事項を「方針・管理目的」、「機能要件」、「保証要件」に
分類して示しています。(ISC)2 公式 SSCP CBK レビュートレーニングのテキストもこの概念に基づいて作成されてい
ます。
チェックシート
各ドメインに関連するキーワードとスキルについて列記しています。SSCP 資格を取得するための自己診断に利用す
るとともに、情報セキュリティ実務担当者や専門家が知っておくべき知識、スキル一覧として活用することが可能で
す。
確認テスト
各ドメインを理解するための「気づき」を促す問題として活用されているものの一部を掲載しています。問題の正答
は本書内には記載していません。SSCP に求められる判断力を知るために、考え方の一例として取り上げています。
■本書の取り扱いについて
□ 記載されている名称は各社の商標および登録商標です
R および TM マークは記載しておりません
□ 本文中に○
□ 本資料からの無断複写、転載を禁止します
□ 本資料の著作権は (ISC)2 が保有します
(ISC)2 Copyright 2009-2016 ｜
目次
SSCP 7 ドメインガイドブック
SSCP CBK 7 ドメインの関係
SSCP CBK 7 ドメインを、情報セキュリティアーキテクチャに基づいて、目的と実装の観点から分類し、それぞれの
ドメインの関係を概念的に表現しました。
情報セキュリティの目的方針
情報セキュリティの実装と技術
実装の方針
セキュリティの運用と管理
インシデントレスポンス・リカバリ
アクセス制御
目的に
応じた実装
実装の技術
暗号
実装における
PDCA サイクル
ネットワークと通信
実装された情報セキュリティの効果測定
リスクの特定、モニタリングと分析
実装の
効果測定
システムとアプリケーション
情報システムセキュリティの中心はアクセス制御となり、これを実現するための様々な方策を論理的、物理的に展開
していきます。SSCP では論理的アクセス制御を中心に構成されていますので、物理セキュリティはドメインに含ま
れませんが、アクセス制御の中で一部カバーしています。
具体的な対策としてのネットワークと通信、暗号、アプリケーションについては、専門家がこれまでに経験した内容
をカテゴリごとにまとめあげ、実際の対策を選択するときや、インシデントレスポンスにおける分析や対応の際に活
用しやすく体系化しています。
正しい対策を実施しているかどうかは機能面だけではなく、効果についても測定しなければいけません。そのための
情報収集として分析とモニタリング（監視）があり、本来の情報セキュリティの目的と合致しているかどうかを理解
していきます。
情報セキュリティの目的や方針などは情報セキュリティの運用と管理のドメインで、その詳しい手順などはインシデ
ントレンスポンス・リカバリのドメインでまとめています。この中には情報セキュリティのライフサイクルだけでは
なく、事業継続計画や、災害復旧計画なども含まれており、情報セキュリティ管理者からの指示を適切に判断し、対
策を提案していくために必要な知識と手順が示されています。
SSCP CBK には、法律や倫理、セキュリティアーキテクチャといった、コーポレートガバナンスに関連するものが含
まれていませんが、SSCP は現場の作業者や他の専門家が有しておくべき情報セキュリティの必須項目について重点
的にまとめあげており、情報セキュリティポリシーを作成するよりも、定められたポリシーに従ってどのようにセ
キュリティ機能要件を実装していくのかを中心にしているためです。
SSCP CBK 7 ドメインの関係
｜ (ISC)2 Copyright 2009-2016
SSCP 7 ドメインガイドブック
アクセス制御
論理的なアクセス制御を中心に、アクセス制御の方針から具体的な対策まで理解します。アクセス制御の 4 つの要
素である、識別、認証、認可、説明責任を理解し、機能要件となるシステムの提供、そして ID 管理などのソリューショ
ンについて理解します。
アクセス制御の概念
方針・管理目的
説明責任
サブジェクトからのアクセス制御
・ID 管理
・認証 3 要素
・システムへのアクセス制御
・記録の取得
・検査と監査
オブジェクトからのアクセス制御
・データとシステムの分類
・セキュリティアーキテクチャモデル
・アクセス制御の種類
機能要件
保証要件
■ドメインの主題となるキーワードと関連する用語
■ アクセス制御の概念
□
ワンタイムパスワード
□
識別
□
スマートカード
□
認証
□
メモリカード
□
認可
□
生体認証
□
説明責任
□
行動特性
□
論理的なアクセス制御
□
多要素認証
□
物理的なアクセス制御
□
セキュリティアーキテクチャモデル
□
シングルサインオン
□
ケルベロス
□
ディレクトリサービス
□
LDAP（Lightweight Directory Access Protocol）
■サブジェクトからのアクセス制御
□
ID 管理
□
相互認証
□
記録（監査ログ）
□
本人が知っていること
■ オブジェクトによるアクセス制御
□
本人が持っているもの
□
□
本人の属性
□ ラベリング
□
パスワード
□
マーキング
□
パスフレーズ
□
最小特権
□
パスワードポリシー
□
任意アクセス制御
□
トークン
(ISC)2 Copyright 2009-2016 ｜
情報分類
アクセス制御
SSCP 7 ドメインガイドブック
□
強制アクセス制御
□
ユーザーインタフェースの制限
□
リファレンスモニター
□
説明責任
□
ルールに基づくアクセス制御
□
責任能力
□
役割に基づくアクセス制御
□
ペネトレーションテスト
□
コンテンツに基づくアクセス制御
□
情報セキュリティ監査
□
アクセスコントロールリスト
■ドメインで求められるスキル
□
アクセス制御に関わる脅威について説明できる
□
アクセス制御に関わる脅威がもたらした事故の影響について説明できる
□
サブジェクトからのアクセス制御の例を列挙できる
□
ID 管理の必要性を説明できる
□
ID 管理に求められる要素について説明できる
□
ID 管理のライフサイクルについて説明できる
□
識別について説明できる
□
認証について説明できる
□
認証デバイスの仕組みについて説明できる
□
様々な認証の仕組みを比較対照できる
□
オブジェクトによるアクセス制御について説明できる
□
情報分類の指針を立てることができる
□
最小特権について説明できる
□
任意アクセス制御の例を列挙できる
□
強制アクセス制御の例を列挙できる
□
任意アクセス制御と強制アクセス制御を比較対照できる
□
リファレンスモニターについて説明できる
□
時間を利用したアクセス制御について説明できる
□
アクセス制御の様々な方法を比較対照できる
□
セキュリティアーキテクチャモデルの例を挙げて説明ができる
□
情報セキュリティ検査と監査の違いを説明できる
アクセス制御
｜ (ISC)2 Copyright 2009-2016
SSCP 7 ドメインガイドブック
■確認テスト
1. TACACS の 3 つの機能分野として知られている AAA ではないものは、次のうちのどれか？
A）認証
B）認可
C）可用性
D）アカウンティング
2. Biba 完全性モデルの主要な 3 つのルールではないものは、次のうちのどれか？
A）アクセス制御サブジェクトは、より高い完全性レベルのアクセス制御オブジェクトにアクセスすることはできない
B）アクセス制御サブジェクトは、より低い完全性レベルのアクセス制御オブジェクトにアクセスすることはできない
C）アクセス制御サブジェクトは、より高い完全性レベルのアクセス制御オブジェクトを変更することはできない
D）アクセス制御サブジェクトは、より高い完全性レベルのアクセス制御オブジェクトからサービスを要求することは
できない
3. アクセス制御システムの定常的モニタリングで考慮すべきことは、次のうちのどれか？
A）アクセスの変更の定期的なモニタリングは、不正使用や不正アクセスのリスクを軽減するのに役立つ
B）アクセス制御システム内のアカウントのすべての変更が、定期的に記録され、見直しされるべきである
C）新規アカウント作成や、既存アカウントへの追加での特権付与について、きちんと承認されているかどうかに
対して特別の注意をはらわなければならない
D）上記の全て
(ISC)2 Copyright 2009-2016 ｜
アクセス制御
SSCP 7 ドメインガイドブック
セキュリティの運用と管理
情報セキュリティマネジメントにおける実行責任者として、関連文書の構築、運用、管理手法を理解します。情報セ
キュリティ責任者からの指示を的確に理解し、情報分類、完全性の確保、意識向上プログラムなど、現場における作
業を統括し、実行できるスキルを身につけます。
情報セキュリティ管理の原則
人事と倫理
方針・管理目的
システムライフサイクル
情報分類
・情報分類の手順
・情報分類の問題点
・システム開発
・認証と認定
・セキュリティ担当者の役割
変更管理
・変更管理
・構成管理
・パッチ管理
管理策
・管理的セキュリティ
・技術的セキュリティ
・物理的セキュリティ
機能要件
保証要件
■ドメインの主題となるキーワードと関連する用語
■ 情報セキュリティ管理の原則
□
インシデント
□
情報セキュリティ管理
□
イベント
□
セキュリティコンセプト（機密性、完全性、
可用性、否認防止、プライバシー）
□
インシデント対応
□
エスカレーション
□
管理的セキュリティ
□
セキュリティのアウトソーシング
□
技術的セキュリティ
□
物理的セキュリティ
□
情報セキュリティフレームワーク
□
情報セキュリティポリシー
□
スタンダード
□
プロシージャ
□
ベースライン
□
ガイドライン
□
評価と保証
□
コンプライアンス
□
システム監査ログ
セキュリティの運用と管理
■ 人事と倫理
□
人的セキュリティ（最小特権、知る必要性、
職責分離、ジョブローテーション、休暇取得義務）
□
意識向上プログラム
□ ソーシャルエンジニアリング
□ 倫理
□
職業倫理
□
RFC 1087
□
Internet Architecture Board
｜ (ISC)2 Copyright 2009-2016
SSCP 7 ドメインガイドブック
■ 情報分類
■ システムライフサイクル
□
情報分類の目的
□
□
情報分類の手順
□ システムライフサイクルのフェーズ
□
マーキング
□
セキュリティ担当者
□
ラベリング
□
認証と認可
□
再認証
□
セキュリティテスト
■ 変更管理
□
変更管理の手順
□
構成管理
□
インベントリ管理
□
ハードウェア設定チャート
□
パッチ管理
プロジェクトマネジメント
■ドメインで求められるスキル
□
情報セキュリティと IT の融合について説明できる
□
情報セキュリティ管理について説明できる
□
情報セキュリティフレームワークについて説明できる
□
情報セキュリティポリシーについて説明できる
□
スタンダード、プロシージャ、ベースライン、ガイドラインについて比較対照できる
□
セキュリティにおける評価と保証について説明できる
□
システム監査ログについて説明できる
□
クリッピングレベルについて説明できる
□
インシデント対応について説明できる
□
インシデントとイベントについて比較対照できる
□
情報分類の目的について説明できる
□
情報分類の手順について説明できる
□
情報分類における問題点について例示できる
□
変更管理について説明できる
□
変更管理の手順について説明できる
□
変更管理の問題点について説明できる
□
変更管理、構成管理、インベントリ管理について比較対照できる
□
パッチ管理について説明できる
□
システムライフサイクルについて説明できる
□
システム開発におけるセキュリティ担当者の役割について説明できる
□
セキュリティ機能の認証と認定について説明できる
□
人的セキュリティのベストプラクティスが説明できる
□
意識向上プログラムについて提案できる
□
ソーシャルエンジニアリングについて例示できる
□
物理的セキュリティの管理策の例を挙げて説明できる
□
倫理とは何か説明できる
□
職業倫理について説明できる
□
RFC1087 について説明できる
□
Internet Architecture Board について説明できる
(ISC)2 Copyright 2009-2016 ｜
セキュリティの運用と管理
SSCP 7 ドメインガイドブック
■確認テスト
1. セキュリティ管理の主要な目的は何か？
A）不正なソースから情報を保護するため
B）ユーザーに高いレベルのシステムの可用性を提供するため
C）不慮の操作から情報を保護することを確実にするため
D）上記の全て
2. ユーザーが、タスクを実行するための許可された最小レベルだけを与えられていることを何というか？
A）限定された権限
B）制限付きの特権
C）責任の分離
D）最小特権
3. 「完全性」とは何か？
A）データが元の適正な状態から、不適切に、あるいは、不注意、不正のいずれかによる変更や破壊がなく、
保管、処理され伝送されていることの保証
B）必要な時に権限のあるユーザーがリソースに正常にアクセスできることの保証
C）データが非公開に保たれ、権限のある個人に制限されていることの保証
D）上記のいずれでもない
10
セキュリティの運用と管理
｜ (ISC)2 Copyright 2009-2016
SSCP 7 ドメインガイドブック
リスクの特定、モニタリングと分析
リスク管理や分析の手順に加え、コンプライアンスマネジメントの重要な要素である改善提案のための情報収集、分
析手法について理解します。監査における法的順守事項などについても理解し、公正で適切な手順を理解し、実施で
きるようにします。また、そのために必要となる技術的手順について理解します。
情報セキュリティ管理の原則
人事と倫理
リスクマネジメントの手順
方針・管理目的
管理策の確認と見直し
セキュリティ監査と分析
・セキュリティのライフサイクル
セキュリティシステムの
モニタリングとテスト
・セキュリティ監査の重要性
・セキュリティ監査の手法
ログの収集と解析
セキュリティ情報と
イベントの管理
・ログ管理
・ログを取得する場所
・情報収集を妨げるもの
機能要件
保証要件
■ドメインの主題となるキーワードと関連する用語
■ リスクマネジメントの手順
□
リスク低減
□
維持
□
リスク移転
□
保護
□
リスク受容
□
復旧
□
リスク受容基準
□
リスク
□
リスク受容レベル
□
イベント
□
残余リスク
□
インシデント
□
予防
□
ぜい弱性
□
セキュリティ対策
□
脅威
□
費用対効果
□
リスク管理
□
ペネトレーションテスト
□
リスク分析
□
ぜい弱性スキャン
□
リスク対応
□
評価
□
保証
□
リスクアプローチ
□
リスクの定量化
□
リスク回避
(ISC)2 Copyright 2009-2016 ｜
■ セキュリティ監査と分析
□
情報セキュリティのサイクル
□ 予防
□
検知
□
改善
リスクの特定、モニタリングと分析
11
SSCP 7 ドメインガイドブック
□
命令
□
IDS
□
抑止
□
NIDS
□
回復
□
HIDS
□
補正
□
IPS
□
費用対効果
□
階層防御
□
管理策マトリクス
□
侵入検知
□
リスク受容
□
リスク受容基準
□
情報セキュリティ監査
□
コンプライアンス
□
監査計画
□
監査報告書
□
ISO/IEC 17799
□
ISO/IEC 27001
□
NIST SP 800-37
□
ITIL
□
COBIT
□
監査証跡
□
フォローアップ監査
□
ログの収集と解析
□
セキュリティモニタリング
□
リアルタイム監視
□
非リアルタイム監視
□
ログ管理
□
ログ情報
□
トラフィック
■ セキュリティシステムのモニタリングとテスト
□
セキュリティテスト
□ テスト技術者
□
ネットワークマッピング
□
ドメイン名
□
Whois
□
ポートマッピング
□
TCP/SYN
□
システムフィンガーマッピング
□
ファイアウォール
□
ウォーダイアリング
■ セキュリティ情報とイベントの管理
□
ログ監視
□
SIEM
□
アウトソーシング
□
SMART メトリクス
□
年次報告書
■ドメインで求められるスキル
12
□
リスク管理のワークフローにしたがって作業を実施できる
□
リスク分析の目的を説明できる
□
リスクアプローチの 2 つの方法を比較対照できる
□
リスクの定量化について説明できる
□
リスク低減のための 4 つの戦略について説明できる
□
リスク管理における費用対効果について説明できる
□
残余リスクについて説明できる
□
セキュリティ対策における予防について説明できる
□
セキュリティ対策の具体例を例示できる
□
対策の評価手法について説明できる
□
対策が正しく機能していることとはどういうことかを説明できる
□
ペネトレーションテストの 3 つの手法について比較対照できる
□
リスクと対策の費用対効果について説明できる
□
リスク受容レベルとリスク受容基準の関係について説明できる
□
監査の必要と目的を説明できる
□
セキュリティ監査の例を説明できる
□
監査計画を策定できる
リスクの特定、モニタリングと分析
｜ (ISC)2 Copyright 2009-2016
SSCP 7 ドメインガイドブック
□
監査に関連する基準を比較対照できる
□
監査証跡の収集手順について説明できる
□
セキュリティ監査の対象を列挙できる
□
監査後の対応について提案できる
□
セキュリティモニタリングについて説明できる
□
取得ログの例について説明できる
□
監視における問題点について列挙できる
□
ログの管理手法について提案できる
□
ログの種類を列挙できる
□
ネットワークモニタリングについて説明できる
□
ネットワークモニタリングの問題について説明できる
□
セキュリティ対策の確認や見直しの対象を特定できる
□
セキュリティテストについて説明できる
□
セキュリティテストの手順について説明できる
□
セキュリティテストの時期について提案できる
□
テスト技術者の適性について説明できる
□
セキュリティテストの目的について説明できる
□
セキュリティテストツールの要件について説明できる
□
セキュリティテストのための情報収集について説明できる
□
ネットワークマッピングの手法について説明できる
□
ネットワークコンポーネントのテストについて説明できる
□
ログ監視の共通化について説明できる
(ISC)2 Copyright 2009-2016 ｜
リスクの特定、モニタリングと分析
13
SSCP 7 ドメインガイドブック
■確認テスト
1. セキュリティモニタリングが必要な理由は何か？
A）攻撃者がシステムにアクセスしたり変更したりする手順を示す活動を記録することができるから
B）ログファイルは、フォレンジック捜査でイベントのタイムラインを形成し、相関性を表すことができるから
C）ログファイルは、セキュリティポリシーからの逸脱を示すことができるから
D）上記の全て
2. セキュリティテストに含まれない活動は、次のうちのどれか？
A）稼動しているサービスをチェックするためにポートスキャンを実行する
B）公に入手可能な情報を収集する
C）敵対するものを特定するカウンター攻撃のシステム
D）権限のない情報を得るため、技術的なサポートのふりをする
3. システムに対するリスクを緩和するものに含まれないものは次のうちのどれか？
A）意識向上トレーニング
B）論理的または技術的なコントロール
C）管理者用コントロール
D）物理的なコントロール
14
リスクの特定、モニタリングと分析
｜ (ISC)2 Copyright 2009-2016
SSCP 7 ドメインガイドブック
インシデントレスポンスとリカバリ
事故対応分析などの活動に実際に参加するために、それぞれの活動における基本的な考え方や手順を理解します。そ
れに伴い、事業継続計画や災害復旧計画などにおいて、実践的な提案をできるようになるための知識とスキルも身に
つけます。
リスクマネジメントの手順
方針・管理目的
管理策の確認と見直し
インシデントレスポンス
・インシデントレスポンス
セキュリティシステムの
モニタリングとテスト
・ペネトレーションテスト
リカバリ
セキュリティ情報と
イベントの管理
・事業継続計画
・災害復旧計画
・バックアッププラン
機能要件
保証要件
■ドメインの主題となるキーワードと関連する用語
■ リスク対応
□
ホットサイト
□
インシデント対応手順
□
ウォームサイト
□
インシデントの通知
□
コールドサイト
□
インシデントの選別、優先順位付け
□
マルチプルサイト
□
インシデント対応
□
互助もしくは相互補助
□
封じ込め
□
チェックリストテスト
□
分析
□
シミュレーションテスト
□
追跡
□
構造化シミュレーションテスト
□
損害の修復
□
フルインタラプションテスト
フォローアップ
□
不測の事態
□
サービス拠点
□
災害復旧計画
□
バックアップ
□
ストレージ
□
NAS
□
SAN
□
RAID
□
■ 復旧
□
災害
□
事業継続管理
□
事業継続計画
□
事業影響度分析
□
最大許容停止時間
□
回復の選択肢
□
代替サイト
(ISC)2 Copyright 2009-2016 ｜
インシデントレスポンスとリカバリ
15
SSCP 7 ドメインガイドブック
■ドメインで求められるスキル
16
□
維持、保護、復旧を比較対照できる
□
リスクについて説明できる
□
イベントとインシデントの違いについて説明できる
□
資産、ぜい弱性、脅威の関係について説明できる
□
潜在的な問題について識別できる
□
評価と保証のそれぞれの手順を説明できる
□
インシデントレスポンスの手順について説明できる
□
インシデントレスポンスの体制について説明できる
□
インシデントレスポンスにおける各人の役割と責任について説明できる
□
災害とは何かを説明できる
□
事業継続管理について説明できる
□
事業影響度分析の手順を説明できる
□
最大許容停止時間について説明できる
□
最大許容停止時間について提案できる
□
回復の選択肢について比較対照できる
□
さまざまな処理協定について説明できる
□
事業計画のテストとレビューについて手順を説明できる
□
災害復旧計画について説明できる
□
BCP、DRP のテスト手法を挙げ違いを説明できる
□
データやシステムのバックアップ手法を比較対照できる
□
ネットワークストレージについて説明できる
□
ネットワークストレージを比較対照できる
□
RAID について説明できる
□
RAID のそれぞれの種類を比較対照できる
インシデントレスポンスとリカバリ
｜ (ISC)2 Copyright 2009-2016
SSCP 7 ドメインガイドブック
■確認テスト
1. 最もコストがかかる一方、100%の可用性が担保される代替サイトはどれか？
A）Cold Site
B）Warm Site
C）Multiple Processing Sites
D）Mobile Site
2. バックアップ計画を策定するときに最も関連性の深い指標はどれか？
A）RTO（Recovery Time Objective)
B）RPO（Recovery Point Objective）
C）MTD（Maximum Tolerable Downtime)
D）BIA（Business Impact Analysis)
3. BCP および DRP のテスト手法では無いものは次のどれか？
A）チェックリストテスト
B）シミュレーションテスト
C）フルインタラプションテスト
D）構造化インタラプションテスト
(ISC)2 Copyright 2009-2016 ｜
インシデントレスポンスとリカバリ
17
SSCP 7 ドメインガイドブック
暗　号
データ管理および通信における暗号技術について全般的に理解します。暗号が利用される環境について想定し、どの
ような暗号技術を利用するのが良いのかを判断するのに十分な知識を身につけます。
アクセス制御の概念
方針・管理目的
暗号の定義
鍵の管理
ストリーム暗号とブロック暗号
暗号解読と攻撃手法
対称鍵暗号
非対称鍵暗号
機能要件
保証要件
■ドメインの主題となるキーワードと関連する用語
■ 暗号の定義
□
□ 電子透かし
平文
□
暗号文
■ 対称鍵 ( 共通鍵 ) 暗号
□
暗号
□
復号
□
RC2
□
アルゴリズム
□
DES
□
鍵
□
RC5
□
暗号変数
□
IDEA
□
鍵空間
□
Blowfish
□
暗号解読
□
3DES
□
対称鍵アルゴリズム
□
Twofish
□
非対称鍵アルゴリズム
□
RC6
□
ワークファクタ
□
AES
□
キークラスタリング
□
Rijindael
□
コリジョン
□
機密性
□
可用性
□
ストリーム暗号
□
XOR
□
ブロック暗号
□
換字暗号
□
シーザー暗号
□
転字暗号
□
ステガノグラフィ
18
暗号
■ 非対称鍵 ( 公開鍵 ) 暗号
□
素因数分解
□
離散対数
□
RSA
□
Diffie-Hellman
□
El Gamal
□
ハイブリッドシステム
□
完全性
□
完全性管理
｜ (ISC)2 Copyright 2009-2016
SSCP 7 ドメインガイドブック
□
パリティ
□
IPSEC
□
ハッシュ
□
AH
□
チェックサム
□
トンネルモード
□
デジタル署名
□
トランスポートモード
□
鍵付きハッシュ
□
HMAC
□
CBC-MAC
□
MD2, 4, 5
□
SHA-1, 2, 3, 224, 256, 384, 512
□
証明書
□
認証局
■ 暗号解読と攻撃手法
□
暗号文単独攻撃
□ 既知平文攻撃
□
選択平文攻撃
□
選択暗号文攻撃
□
中間攻撃
□
サイドチャネル攻撃
■ 鍵の管理
□
総当たり攻撃
□
鍵管理
□
誕生日攻撃
□
鍵の保管
□
差分解読法
□
PKI
□
線形解読法
□
差分線形解読法
□
代数的攻撃
□
解析的攻撃
□
統計分析攻撃
□
鍵の買収
■ セキュアプロトコル
□
VPN
□
SSH
□
SSL VPN
□
SOCKS
□　「ゴム製ホース」解読法
□
ソーシャルエンジニアリング
■ドメインで求められるスキル
□
暗号を定義できる
□
暗号の仕組みを説明できる
□
暗号に求められているものを説明できる
□
ストリーム暗号とブロック暗号を比較対照できる
□
ストリーム暗号の仕組みを説明できる
□
ブロック暗号の仕組みを説明できる
□
ブロック暗号例を列挙できる
□
対称鍵 ( 共通鍵 ) 暗号を定義できる
□
対称鍵 ( 共通鍵 ) 暗号の仕組みについて説明できる
□
対称鍵 ( 共通鍵 ) 暗号の様々な例を比較対照できる
□
非対称鍵 ( 公開鍵 ) 暗号を定義できる
□
非対称鍵 ( 公開鍵 ) 暗号の仕組みについて説明できる
□
非対称鍵 ( 公開鍵 ) 暗号の例を比較対照できる
□
ハイブリッドシステムについて説明できる
□
メッセージの完全性管理について説明できる
□
ハッシュを定義できる
□
ハッシュの例を比較対照できる
□
デジタル署名について説明できる
□
鍵管理の手法について説明できる
□
PKI について説明できる
□
PKI におけるリスクについて説明できる
□
セキュアプロトコルの例を比較対照できる
□
暗号解読について定義できる
□
暗号解読の手法について比較対照できる
□
暗号方式の弱点について説明できる
□
ＩＴ技術を利用しない攻撃について説明できる
(ISC)2 Copyright 2009-2016 ｜
インシデントレスポンスとリカバリ
19
SSCP 7 ドメインガイドブック
■確認テスト
1. シーザー暗号を説明しているものは次のうちのどれか？
A）別のメッセージに正しいメッセージを隠す
B）換字暗号
C）転字暗号
D）多換字暗号
2. デジタル署名が提供するのは、次のうちのどれか？
A）個人の機密データを暗号化する機能を提供する
B）個人のプライバシーを確保する
C）ソースを識別し、データの完全性を検証する
D）法律や手続きのためのフレームワークを提供する
3. 非対称鍵暗号の利点は、次のうちのどれか？
A）鍵の配布が比較的容易であること
B）両方の鍵が同じであること
C）ハードウェアに簡単に実装できると
D）実行が非常に速いこと
20
暗号
｜ (ISC)2 Copyright 2009-2016
SSCP 7 ドメインガイドブック
ネットワークと通信のセキュリティ
ネットワークにおける物理的および論理的な構成を知り、情報セキュリティに関わる問題点を特定できる知識を身に
つけます。ネットワークにおける、機密性、完全性、可用性、そして認証について理解し、攻撃に対する対策や適正
なプロトコルの選択などができるようなスキルを身につけます。
アクセス制御の概念
方針・管理目的
ネットワークの構成要素とプロトコル
管理策の確認と見直し
ネットワークアクセスコントロール
セキュリティシステムの
モニタリングとテスト
ネットワークデバイスの保護
セキュリティ情報と
イベントの管理
無線ネットワークの設定と保護
機能要件
保証要件
■ドメインの主題となるキーワードと関連する用語
■ ネットワークの構成要素とプロトコル
□
アドレス解決プロトコル
OSI 参照モデル
□ NAT
□
TCP/IP
□
PAT
□
ツイストペアケーブル
□
ICMP
□
同軸ケーブル
□
TFTP
□
ファイバーケーブル
□
SMTP
□
無線ネットワーク
□
ISDN
□
リピータ
□
ブロードバンド
□
コンセントレータ
□
マルチプレクサ
■ ワイドエリア、リモートエリアネットワーク
□
ブリッジ
□
ルータ
□
ハブ
□
ルーティングプロトコル
□
スイッチングハブ
□
ファイアウォール
□
レイヤー２スイッチ
□
DMZ
□
レイヤー３スイッチ
□
要塞ホスト
□
バス型トポロジー
□
DHCP
□
リング型トポロジー
□
リモートアクセス
□
スター型トポロジー
□
VPN コンセントレータ
□
メッシュ型トポロジー
□
回線網
□
TCP セッション
□
パケット交換網ダイアルアップ
□
IP アドレス
□
DSL
□
(ISC)2 Copyright 2009-2016 ｜
ネットワークと通信のセキュリティ
21
SSCP 7 ドメインガイドブック
□
PPPoE
■ 無線ネットワークの設定と保護
□
SDLC
□
□
HDLC
□ Bluetooth
□
フレームリレー
□
WiMax
□
ATM
□
ラストワンマイル
□
無線アクセスポイント
□
SSID
□
WEP
□
受動的ネットワーク攻撃
□
能動的ネットワーク攻撃
□
ウォードライビング
□
動的 WEP
□
WPA
□
WPA2
□
RSN
□
IEEE 802.1X
■ ネットワークセキュリティプロトコル
□
PPP
□
SLIP
□
PAP
□
CHAP
□
EAP
□
SSL
□
SET
□
S/MIME
□
PEM
IEEE 802.11b/g/a/n/i
■ドメインで求められるスキル
22
□
ネットワークの構成要素について列記できる
□
OSI 参照モデルについて説明できる
□
OSI 参照モデルと TCP/IP モデルを比較対照できる
□
ネットワークの物理メディアを列挙できる
□
それぞれの物理メディアのセキュリティについて説明できる
□
ネットワーク配線におけるセキュリティについて説明できる
□
ネットワーク接続機器を列挙できる
□
それぞれのネットワーク接続機器のセキュリティについて説明できる
□
ネットワークの接続形態を列挙できる
□
それぞれの接続形態におけるセキュリティについて説明できる
□
TCP/IP を定義できる
□
TCP/IP のセキュリティ問題について説明できる
□
OSI 参照モデルの各レイヤーにおけるセキュリティ要件を説明できる
□
OSI 参照モデルの各レイヤーで利用されるプロトコルを列挙できる
□
それぞれのプロトコルのセキュリティ問題について説明できる
□
ポイント・ツー・ポイントの接続形態について説明できる
□
ファイアウォールを定義できる
□
ファイアウォールの種類を列記できる
□
DMZ について説明できる
□
リモートアクセスにおけるセキュリティについて説明できる
□
回線網とパケット交換網について比較対照できる
□
WAN の接続形態について説明できる
□
ネットワークセキュリティプロトコルを定義できる
□
ネットワークセキュリティプロトコルを列挙できる
□
無線ネットワークの例を列挙できる
□
無線ネットワークのセキュリティ機能について説明できる
□
無線ネットワークの暗号技術について比較対照できる
ネットワークと通信のセキュリティ
｜ (ISC)2 Copyright 2009-2016
SSCP 7 ドメインガイドブック
■確認テスト
1. アクセスポイントの基本的な役割は何か？
A）ワイヤレスで接続されたコンピュータや他のデバイスとの間の無線ネットワークのための有線または
無線のブリッジとしての活動
B）ネットワークのアクセスポイントでのアクセス制御ポリシーの実施
C）ランダムな WEP キーの生成
D）ランダムな MAC アドレスの生成
2. IPSec がしないものは、次のうちのどれか？
A）データの発信元の認証
B）コネクションレスの完全性
C）無制限のトラフィックフローの機密性
D）リプレイ攻撃からの保護
3. モニタリングの対象となる可能性のあるローカルエリアネットワーク上のトラフィックのセキュリティ確保を
支援することができるセキュリティ技術は、次のうちのどれか？
A）IPSec の実装
B）伝送に暗号化を追加
C）バスの両端にアッテネータを提供し、データの盗難を防止する
D）すべてのコンピュータへのアクセスコントロールの追加
(ISC)2 Copyright 2009-2016 ｜
ネットワークと通信のセキュリティ
23
SSCP 7 ドメインガイドブック
システムとアプリケーションセキュリティ
不正なコードやモバイルコードの概念や種類を幅広く知り、これらの攻撃に対する対処法などを適切に選択できるよ
うな知識を身につけます。攻撃を受けた際の対処法や再発防止策などの提案ができるようなスキルを身につけます。
システムとアプリケーションの保護
方針・管理目的
安全な状態の維持
不正なコードへの対策
・安全な修復と日常の行動
・安全な状態維持のためのルール作り
・対策の種類
・階層防御（ネットワーク、OS、アプリ）
・侵入検知
攻撃の方法と技術
・ウイルスの構造
・攻撃手法
・ハッキングの手順
システム全体の保護
・端末の保護
・クラウド・仮想環境セキュリティー
・モバイル端末の保護
機能要件
保証要件
■ドメインの主題となるキーワードと関連する用語
24
■ 不正なコードの種類
■ 攻撃の方法と技術
□
□
□
□
□
□
□
□
□
□
□
□
□
□
□
□
□
□
□
□
□
□
□
□
□
□
□
□
□
□
□
□
□
□
□
スパム
ボットネット
キーロガー
キーストロークロガー
スパイウェア
アドウェア
フィッシング
ファーミング
デマ
神話
ワーム
OPERATION BOT ROAST
ブートウイルス
ファイルウイルス
マクロウイルス
電子メールワーム
スラマー
システムとアプリケーションセキュリティ
ウイルスのライフサイクル
マスターブートレコード
ファイル感染
ポリモルフィックウイルス
レトロウイルス
マルチパータイトウイルス
トロイの木馬
モバイルコード
攻撃の手順
直接攻撃
間接攻撃
偵察と調査
ポートスキャン
ポートマッピング
バックドア
ウォーダイアリング
パスワードキャプチャリング
クラック
｜ (ISC)2 Copyright 2009-2016
SSCP 7 ドメインガイドブック
□
□
□
□
□
□
□
□
□
□
□
□
□
□
□
□
□
□
リモートアクセス
トロイの木馬
DDoS 攻撃
ペストウェア
プランク
ウェブトラッキング
ホームページハイジャック
ウェブ改ざん
バッファオーバーフロー
不正なコードへの対策
アンチウイルスソフトウェア
シグネチャ
ヒューリスティックスキャン
データ完全性確認ツール
コンテンツフィルタ
ログ管理
階層防御
侵入検知
■ 安全な状態の維持
□ バックアップ
□ モバイルコンピュータ
□ 検査
■ システムの保護
□
□
□
□
□
□
□
□
HIDS
Host-based firewall
モバイル端末管理
仮想化
脆弱性
SDN
ハイパーバイザー
共有ストレージ
■ドメインで求められるスキル
□
□
□
□
□
□
□
□
□
□
□
□
□
□
□
□
□
□
□
□
□
□
□
□
□
□
□
□
□
□
□
□
□
不正なコードについて説明できる
不正なコードの歴史の概要について説明できる
最近の不正なコードについて例示できる
一般的なウイルスの種類を比較対照できる
攻撃の目的について説明できる
攻撃の方法について説明できる
攻撃の対象について特定できる
ウイルスライフサイクルについて説明できる
ブートレコードウイルスの挙動について説明できる
ウイルスがシステム感染した状態について説明できる
ウイルスの隠蔽について例示できる
不正なコードを利用せずに攻撃をする方法について例示できる
端末の保護の手順を説明できる
モバイル端末の管理プロセスを説明できる
クラウドセキュリティの設定について説明できる
ビックデータシステムの保護について説明できる
仮想環境の保護について説明できる
攻撃が行われている状態とはどのような状態かを説明できる
攻撃者の犯人像について推測できる
攻撃者が実施する手順について説明できる
攻撃手法を比較対照できる
偵察の方法について例示できる
偵察に利用されるプロトコルやツールについて説明できる
攻撃者がアクセス可能な状態を維持する方法について例示できる
不正なコードが攻撃する手順を説明できる
効果的なリアルタイム攻撃の方法について説明できる
不正なコードを無効化する方針について説明できる
不正なコードへの対策について説明できる
アンチウイルスソフトウェアの仕組みについて説明できる
コンテンツフィルタリングについて説明できる
防御対象の特定と保護方法を説明できる
安全な状態を維持するための方針を説明できる
安全な状態を自動的に維持するための機能要件を提案できる
(ISC)2 Copyright 2009-2016 ｜
システムとアプリケーションセキュリティ
25
SSCP 7 ドメインガイドブック
■確認テスト
1. 「生産性と性能に対する攻撃」の例は、次のうちのどれか？
A）機密データの不正操作
B）コンピュータのウイルス感染
C）総当たり攻撃
D）サービス拒否（DoS）
2. ハッカーが DNS と ICMP のツール、またはポートスキャナやマッパーを使用するのは、次のうちの攻撃のどの段階か？
A）サービス拒否（DoS）
B）窃取
C）アクセスと権限の昇格
D）偵察
3. 「NetBus」や「BackOrifice」は、どんな悪意のあるコードの分類の例か？
A）ワーム
B）マルチパータイトウイルス
C）バックドアのトロイの木馬
D）アドウェア
26
システムとアプリケーションセキュリティ
｜ (ISC)2 Copyright 2009-2016
SSCP 7 ドメインガイドブック
SSCP 受験から認定までの流れと認定維持
■ SSCP
認定試験
■ 申込み（実施機関）
認定試験は、PEARSON VUE にて実施されます。試験の申込みや会場などに関する情報は、PEARSON VUE web
サイトを参照してください。
http://www.pearsonvue.com/japan/
■ 出題範囲
□ SSCP CBK 7 ドメイン
■ 問題数
□ 125 問／ 4 択 Computer Based Testing（CBT）（日本語・英語併記）
125 問中、25 問は調査のために入っており、採点対象とはなりません。
■ 時　間
□ 3 時間（途中休憩可・途中退出可）
・試験開始前に 30 分程度の試験説明があります。この説明を受けないで受験をすることはできません。
・試験監督の監視のもとでの休憩となります。
・途中退出後は、試験会場に戻ることはできません。
■ 受験料
□ 250 米ドル
■ 必須持ち物（忘れると受験不可）
□ 写真・署名付公的身分証明書と署名付身分証明書（計 2 点）
■ 合格点
□ 1000 点満点中 700 点で合格
（スケールドスコアなので、各問題の配点は同じとは限りません）
□ 受験後に会場でスコアレポートを受けとります（非公式）
6 週間～ 8 週間後に公式な結果が電子メールで通知されます。
不合格の場合には、点数が記載され、7 ドメインについて、最もスコアがよかったドメインから最もスコアが悪
かったドメインまで 1 ～ 7 の順位が記載される
■ SSCP
認定要件
■ SSCP に認定されるには、下記要件をすべて満たすことが必要です。
□ SSCP 認定試験での合格（1000 点中 700 点以上で合格）
□ SSCP CBK 7 ドメインのうち 1 ドメインに関連した 1 年以上の業務経験
□ 実務経験が事実であることの証明及び倫理規約に合意すること
□ (ISC)2 認定資格保持者（CISSP, CAP, SSCP, CSSLP）からの推薦
□ 無作為に行われる業務経験に関する監査に合格すること
□ 犯罪に関連した履歴に関する 4 つの質問事項に正しく答えること（試験登録時の申込書にて）
(ISC)2 Copyright 2009-2016 ｜
SSCP 受験から認定までの流れと認定維持
27
SSCP 7 ドメインガイドブック
■ 認定登録手続
□ 推薦状（エンドースメント）を米国 (ISC)2 本部に送付
・推薦状書式は合格通知の電子メールに記載の URL からダウンロードして記入。(ISC)2 認定資格保持者（CISSP,
CAP, SSCP, CSSLP）からの推薦の署名をもらう必要がある。
・業務経験年数を明確に記載し、また経験年数に含む業務が SSCP CBK に関連した業務であることを明確に記載
する。
□ 手続き完了後、米国 (ISC)2 本部から認定証パッケージが希望した住所に郵送される
・パッケージに入っているもの
認定証
カード型の認定証
SSCP ピンバッジ購入クーポン
■ SSCP
認定継続要件
□ (ISC)2 倫理規約に従い行動する
□ 年会費の支払（65 米ドル／年）
□ 継続教育単位（CPE クレジット）の取得
・継続教育単位（CPE クレジット）を 3 年間で 60 ポイント取得する。ただし、年次認定基準日までに最低２0
ポイントの CPE クレジットの取得が必要。
■その他
記載している情報は 2016 年 7 月現在の内容です。最新情報は (ISC)2 日本語 web サイトにてご覧ください。
(ISC)2 日本語 web サイト
https://www.isc2.org/japan/
SSCP 認定試験案内
https://www.isc2.org/japan/examination_sscp.html
(ISC)2
28
公式 SSCP CBK レビュートレーニング案内 https://www.isc2.org/japan/sscp_training.html
SSCP 受験から認定までの流れと認定維持
｜ (ISC)2 Copyright 2009-2016
SSCP 7 ドメインガイドブック
2016 年 7 月 1 日第 5 版発行
お問い合わせ先
(ISC)2
E-mail: [email protected]
TEL: 03-5322-2837
URL: https://www.isc2.org/japan/

Download Report