로그인 ID와 컴퓨터 단말기에 허용되는 컴퓨터 접근 수준에 관한 내부 컴퓨터화된 접근 규칙 테이블이란 무엇으로 정의됩니까?
정답: A
접근 제어 목록(ACL)은 시스템에서 관리되는 구조화된 권한 규칙 목록으로, 누가 또는 무엇이 리소스에 접근할 수 있는지, 그리고 어떤 작업이 허용되는지를 지정합니다. 많은 운영 체제, 네트워크 장치 및 애플리케이션에서 ACL은 사용자 ID, 그룹 ID, 서비스 계정 또는 장치/단말기 식별자와 같은 ID를 읽기, 쓰기, 실행, 수정, 삭제 또는 관리와 같은 권한에 매핑하는 내부 테이블 역할을 합니다. 주체가 객체에 접근하려고 하면 시스템은 ACL을 참조하여 요청된 작업이 허용되어야 하는지 또는 거부되어야 하는지를 결정하고, 런타임에 조직의 보안 정책을 적용합니다. 질문의 설명은 로그인 ID와 연결된 접근 규칙이 저장된 컴퓨터화된 테이블인 ACL(접근 제어 목록)의 고전적인 정의와 일치합니다. ACL은 임의 접근 제어를 구현하는 데 핵심적인 역할을 하며, 네트워킹(예: 출발지/목적지 및 포트를 기반으로 트래픽 흐름 허용 또는 차단) 및 파일 시스템(폴더 및 파일 접근 제어)에서도 널리 사용됩니다. 접근 제어 항목(ACE)은 ACL(접근 제어 목록) 내의 단일 항목(하나의 주체에 대한 하나의 규칙)입니다. "관계형 액세스 데이터베이스"는 권한 부여 테이블에 대한 표준 보안 제어 용어가 아닙니다. "디렉터리 관리 시스템"은 ID와 그룹을 관리하지만 특정 리소스에 연결된 적용 목록과는 다릅니다. 따라서 정답은 접근 제어 목록(ACL)입니다.
IIBA-CCA 문제 17
사이버 보안에 있어 디렉토리 관리가 중요한 이유는 무엇입니까?
정답: D
디렉터리 관리는 ID, 그룹, 역할 및 권한을 중앙 집중식으로 정의하여 네트워크 리소스에 접근할 수 있는 사용자를 직접적으로 결정하기 때문에 중요합니다. 대부분의 기업에서 디렉터리 서비스는 사용자 및 서비스 계정을 저장하고 파일 서버, 애플리케이션, 이메일 플랫폼, VPN 및 클라우드 서비스와 통합합니다. 이러한 통합을 통해 공유 폴더 및 파일에 대한 그룹 기반 접근 제어, 역할 기반 접근 제어, 최소 권한 원칙과 같은 권한 부여 규칙을 일관되게 적용할 수 있습니다. 옵션 D는 이러한 핵심 보안 목적을 잘 나타냅니다. 즉, 디렉터리 관리는 네트워크 리소스에 대한 접근을 관리하는 기본적인 제어 메커니즘입니다. 사이버 보안 제어 관점에서 디렉터리 관리는 안전한 온보딩 및 오프보딩을 지원하여 신규 사용자에게 적절한 권한만 부여하고 퇴사하는 사용자의 계정을 신속하게 비활성화함으로써 내부자 및 외부 위험을 줄입니다. 또한 암호 규칙, 계정 잠금, 다단계 인증 통합, 조건부 액세스와 같은 전사적 정책을 구현하여 인증을 강화합니다. 뿐만 아니라 중앙 집중식 디렉터리는 감사 기능을 향상시킵니다. 관리자는 멤버십 및 권한을 검토하고, 권한 그룹 변경 사항을 모니터링하고, 조사 및 규정 준수 보고를 지원하는 로그를 생성할 수 있습니다. 다른 옵션들은 너무 포괄적이거나 디렉토리 관리와 직접적인 관련이 없습니다. 디렉토리는 기밀 정보를 간접적으로 보호하는 데 도움이 되지만, 그 직접적인 기능은 "외부 접근 차단"이 아니라 접근 규칙을 적용하는 것입니다. 또한 디렉토리는 모든 애플리케이션 보안을 하나의 인터페이스로 관리하지 않으며, 외부인이 직원의 개인 정보를 알지 못하도록 하는 것은 개인정보 보호 목표이지 디렉토리 관리의 주된 목적은 아닙니다. 최고의 컨디션
IIBA-CCA 문제 18
디지털 저작권 관리(DRM)의 목적은 무엇인가요?
정답: B
디지털 저작권 관리(DRM)는 디지털 콘텐츠가 사용자 또는 기기에 전달된 후 허용된 사용 범위를 제한하는 기술적 메커니즘입니다. DRM의 주요 목적은 저작권이 있는 저작물의 접근 및 사용 방식을 제어하는 것으로, 복사, 인쇄, 화면 캡처, 전달, 오프라인 사용, 기기별 사용 제한, 재배포 등을 제한합니다. DRM 시스템은 일반적으로 콘텐츠를 암호화한 후, 라이선스 및 정책 시행 요소를 통해 사용자 또는 기기가 콘텐츠를 열람할 권한이 있는지, 그리고 어떤 조건 하에서 열람할 수 있는지를 확인합니다. 이러한 조건에는 시간 제한(만료), 지역 제한, 구독 상태, 동시 사용 제한, 수정 및 내보내기 제한 등이 포함될 수 있습니다. 이는 DRM이 음악, 영화, 전자책, 소프트웨어, 보호된 미디어 스트림과 같은 저작권이 있는 디지털 저작물의 사용을 제어하는 것이기 때문에 옵션 B와 정확히 일치합니다. 사이버 보안 문서에서 DRM은 콘텐츠 보호, 불법 복제 방지 조치 및 라이선스 준수와 함께 논의되는 경우가 많습니다. DRM은 일반적인 접근 제어 및 감사 로깅과 다릅니다. 접근 제어는 누가 시스템에 접근하거나 리소스를 열 수 있는지를 결정하는 반면, 감사는 책임 소재를 명확히 하기 위해 사용자의 활동을 기록합니다. DRM은 단순히 접근을 제어하는 것을 넘어, 정당한 사용자가 콘텐츠에 접근한 후 무엇을 할 수 있는지까지 규제합니다. 옵션 A는 감사 로깅을 설명하고, 옵션 C는 일반적인 권한 부여 및 데이터 접근 제어를 설명하며, 옵션 D는 광범위한 정보 권한 관리 목표에 더 가깝지만 저작권이 있는 저작물의 사용 및 배포 통제에 초점을 맞춘 표준 정의보다는 덜 구체적입니다.
IIBA-CCA 문제 19
다음 중 조직의 위험 관리 전략에 포함되어야 할 사항은 무엇입니까?
정답: D
조직의 위험 관리 전략은 기업 전반에 걸쳐 위험을 관리하는 방향을 제시하는 거버넌스 차원의 문서입니다. 사이버 보안 거버넌스 프레임워크의 핵심 요건은 조직 전체에 영향을 미치는 위험 관련 결정에 대한 최고 경영진의 책임성을 포함한 명확한 책임 소재입니다. 위험 관리를 담당하는 최고 경영진을 지정하면 위험 감수 수준과 허용 범위를 설정하고, 사업 부문 간 위험 관련 활동을 조정하며, 상충되는 우선순위 간의 갈등을 해결하고, 위험 관련 결정이 각 부서별로 고립되지 않고 일관성 있게 이루어지도록 보장할 수 있는 권한이 부여됩니다. 또한, 이러한 최고 경영진의 역할은 고위 경영진에 대한 위험 보고를 감독하고, 중요한 위험을 해결하기 위한 자원을 확보하며, 사이버 보안, 개인정보 보호, 규정 준수 및 운영 탄력성 프로그램 간의 통합을 추진하는 데 도움이 됩니다. 책임 있는 최고 경영진이 없다면 위험 관리는 파편화되어 평가 점수의 일관성 부족, 통제 구현의 불균형, 위험 수용 또는 처리 권한의 모호성 등의 문제가 발생할 수 있습니다. 옵션 A는 전략의 일부가 될 수 있지만, 질문은 무엇을 다뤄야 하는지를 묻고 있으며, 가장 중요한 기본 요소는 기업 차원의 책임과 거버넌스입니다. 옵션 B는 전략에 포함하기에는 너무 세부적입니다. 각 IT 자산에 대한 통제 방안을 선택하는 것은 보안 아키텍처, 통제 기준선 및 시스템 수준의 위험 평가에 속합니다. 옵션 C는 일반적으로 사고 대응 및 침해 관리 계획 및 절차에서 다루어지는데, 이는 전략에서 파생된 운영 문서이지 전략 자체는 아닙니다. 따라서 가장 적절한 해결책은 조직 전체의 위험 관리를 책임지는 임원을 임명하는 것입니다.
IIBA-CCA 문제 20
임베디드 시스템이란 무엇인가요?
정답: C
임베디드 시스템은 더 큰 장치 또는 물리적 시스템의 일부로 특정 기능을 수행하도록 설계된 특수 컴퓨팅 시스템입니다. 범용 컴퓨터와 달리 임베디드 시스템은 라우터, 프린터, 의료 기기, 차량, 산업용 컨트롤러 및 스마트 가전제품과 같은 제품에서 센서, 액추에이터, 통신 또는 장치 로직을 제어하는 것과 같은 특정 임무를 지원하도록 구축됩니다. 사이버 보안 관련 문서에서는 임베디드 시스템이 제한된 CPU 성능, 메모리, 저장 공간 및 사용자 인터페이스 기능을 포함한 제한된 리소스로 작동하는 경향이 있음을 일반적으로 강조합니다. 이러한 제약 조건은 설계 및 보안 모두에 영향을 미칩니다. 패치가 더 어려울 수 있고, 로깅이 최소화될 수 있으며, 보안 기능은 플랫폼의 제한 사항에 맞춰 신중하게 설계되어야 합니다. 옵션 C는 소형 폼 팩터와 제한된 처리 능력을 특징으로 하며, 이는 많은 임베디드 장치의 일반적인 속성입니다. 모든 임베디드 시스템이 "소형"인 것은 아니지만, 핵심은 특정 목적을 위해 설계되었고, 자원이 제한적이며, 더 큰 제품에 긴밀하게 통합되어 있다는 점입니다. 다른 옵션들은 서로 다른 개념을 설명합니다. 안전한 지하 시설은 임베디드 컴퓨팅이 아닌 물리적 부지 보안과 관련이 있습니다. 제거하기 어렵다는 것은 물리적 설치 또는 변조 방지와 관련된 것으로, 많은 시스템에 적용될 수 있지만 "임베디드"를 정의하는 기준은 아닙니다. 변조 방지 외부 장치에 암호화 키를 저장하는 것은 하드웨어 보안 모듈 또는 보안 요소의 사용 사례를 설명하는 것이지, 임베디드 시스템의 일반적인 정의를 나타내는 것은 아닙니다.
