무료 온라인 액세스 ISC.SSCP.v2022-12-02.q996 모의 시험 (Page 193)

SSCP 문제 958

민감한 기능이나 정보를 보호하기 위해 협력하여 작동하는 둘 이상의 개별 엔터티(보통 사람)가 자산에 액세스하기 위해 지식을 결합해야 하는 경우 이를 ?

A. 이중 제어

B. 알아야 할 사항

C. 업무의 분리

D. 직무 분담

정답: A

섹션: 보안 운영 관리
설명/참조:
질문에는 "함께 운영"이 명확하게 언급되어 있습니다. 즉, 최선의 대답은 이중 제어입니다.
업무 분리가 가장 중요한 높은 무결성 환경을 구현하는 데 필요한 두 가지 메커니즘은 이중 제어 또는 지식 분할입니다.
이중 제어는 활동에 대한 책임을 듀오로 유지하는 개념을 적용합니다. 작업을 수행하려면 한 명 이상의 직원이 필요합니다. 민감한 기능이나 정보를 보호하기 위해 함께 작동하는 둘 이상의 개별 엔터티(보통 사람)를 활용합니다.
이중 제어 기능이 알고 있는 것으로 제한될 때마다 분할 지식(예: 암호의 일부, 암호화 키 등)이라고 합니다. 분할 지식은 고유한 "각각이 가져와야 하는 것"이며 이중 제어를 구현할 때 함께 결합됩니다. .
예를 들어, 작은 현금이 들어 있는 상자가 하나의 조합 자물쇠와 하나의 열쇠 잠금 장치로 고정되어 있다고 가정해 보겠습니다. 한 직원에게는 콤보 잠금 장치의 조합이 제공되고 다른 직원에게는 열쇠 잠금 장치에 대한 올바른 키가 있습니다. 상자에서 현금을 꺼내려면 두 직원이 동시에 현금 상자에 있어야 합니다. 한 사람이 다른 사람 없이는 상자를 열 수 없습니다. 이것은 이중 제어의 측면입니다.
다른 한편으로, 분할 지식은 여기에서 각각이 회의에 가져오는 고유하고 필요한 다른 개체(콤보 잠금 및 올바른 물리적 키에 대한 조합)로 예시됩니다.
이것은 일반적으로 다음과 같은 고가치 거래/활동(조직의 위험 선호도에 따라)에 사용됩니다.
이 사용자 계정의 암호가 두 개로 분할되고 두 명의 다른 직원이 관리하는 특수 사용자 계정을 사용하여 고가치 거래를 승인합니다. 고액 거래를 위한 비밀번호를 입력하려면 두 직원이 모두 있어야 합니다. 이것은 종종 업무 분리 원칙과 결합됩니다. 이 경우 거래 게시는 다른 직원이 수행했을 것입니다. 이는 고가의 사기 거래를 하기 위해 3명 이상의 담합이 필요한 상황으로 이어진다.
결제 카드와 PIN 인쇄는 SOD 원칙에 따라 구분됩니다. 이제 조직은 이중 제어/분할 지식을 구현하여 제어 메커니즘을 향상할 수도 있습니다. 카드 인쇄 활동은 인쇄 프로세스를 시작하기 위해 두 명의 직원이 암호를 입력하도록 수정할 수 있습니다. 마찬가지로 PIN 인쇄 인증도 이중 제어로 구현할 수 있습니다. 많은 HSM(호스트 보안 모듈)에는 PIN 인쇄 프로세스를 시작하는 데 물리적 키가 필요한 이중 제어용 컨트롤이 내장되어 있습니다.
암호화 키 관리는 이중 제어/분할 지식이 구현되어야 하는 또 다른 핵심 영역입니다.
PCI DSS는 다음과 같이 이중 제어를 정의합니다. 이것은 암호화 관점에서 더 많이 사용되며 여전히 유용합니다.
이중 제어: 민감한 기능이나 정보를 보호하기 위해 협력하여 작동하는 둘 이상의 개별 개체(보통 사람)를 사용하는 프로세스입니다. 두 기관은 취약한 거래와 관련된 자료의 물리적 보호에 대해 동등하게 책임이 있습니다. 한 사람도 자료(예: 암호화 키)에 액세스하거나 자료를 사용할 수 없습니다. 수동 키 생성, 전달, 로드, 저장 및 검색의 경우 이중 제어를 위해서는 엔터티 간에 키에 대한 지식을 나누어야 합니다. (또한 지식 분할 참조).
분할 지식: 둘 이상의 엔터티가 결과 암호화 키에 대한 지식을 개별적으로 전달하지 않는 주요 구성 요소를 개별적으로 갖는 상태입니다.
정보 보안 전문가는 이중 통제와 직무 분리의 차이점을 이해하는 것이 중요합니다. 둘 다 서로를 보완하지만 동일하지는 않습니다.
다음은 오답이었습니다.
직무 분리는 단일 사용자가 충돌하는 작업을 수행할 기회를 생성하지 않도록 프로세스 내의 다양한 기능을 서로 다른 사용자에게 분할하는 문제를 해결합니다.
예를 들어, 거래에 두 명 이상의 사람이 참여하면 견제와 균형 시스템이 만들어지고 사기 가능성이 크게 줄어듭니다. 따라서 조직에서는 프로세스 내의 모든 작업이 적절하게 분리되어 있는지 확인하는 것이 중요합니다.
업무 분담의 몇 가지 사용 사례를 살펴보겠습니다.
현금을 취급하는 사람은 회계 기록에 게시해서는 안됩니다
대출 담당자는 승인된 대출에 대해 대출금을 지출해서는 안 됩니다. 수표 서명 권한이 있는 사람은 은행 계좌를 조정해서는 안 됩니다. 신용 카드 인쇄 개인은 신용 카드 PIN을 인쇄해서는 안 됩니다. 고객 주소 변경은 변경 전에 두 번째 직원이 확인해야 합니다 활성화할 수 있습니다.
직원 부족으로 업무 분장이 불가능한 상황에서는 고위 경영진이 적절한 통제 부족을 상쇄할 추가 조치를 마련해야 합니다.
요약하자면, 직무 분리는 상충되는 직무를 분리하여 사기를 줄이기 위한 종단 간 기능에 관한 것입니다.
알아야 할 사항(NTK):
정부 및 기타 조직(특히 군대와 관련된 조직)에서 사용할 때 "알아야 할 사항"이라는 용어는 매우 민감한 것으로 간주되는 데이터의 제한을 설명합니다. 알아야 할 필요가 있는 제한 사항에 따라 특정 정보에 액세스하는 데 필요한 모든 공식 승인(예: 보안 허가)이 있더라도 알 필요가 있는 경우가 아니면 해당 정보에 대한 액세스 권한이 부여되지 않습니다. 즉, 정보에 대한 접근은 공무 수행을 위해 필요해야 합니다. 대부분의 보안 메커니즘과 마찬가지로 목표는 합법적인 액세스를 방해하지 않고 무단 액세스가 발생하는 것을 어렵게 만드는 것입니다.
Need-to-Know는 또한 가능한 한 적은 수의 사람들에게 접근을 제한함으로써 민감한 자료의 "탐색"을 억제하는 것을 목표로 합니다.
시험 팁: 이 문제를 해독하는 방법
먼저 직무 분리와 직무 분리가 서로 동의어라는 사실을 눈치채셨을 것입니다. 이것은 그들이 확실히 최고의 답변이 아니라는 것을 의미합니다. 그것은 쉬운 첫 번째 단계였습니다.
시험을 위해 기억하십시오:
직무 분리는 직무 분리와 동의어입니다.
이중 제어는 분할 지식과 동의어입니다.
이 질문에 사용된 참조:
에르난데스 CISSP, 스티븐 (2012-12-21). 공식(ISC)2 CISSP CBK 가이드, 제3판((ISC)2 Press)(Kindle Locations 16048-16078). 아우어바흐 간행물. 킨들 에디션.
그리고
http://www.ciso.in/dual-control-or-segregation-of-duties/

SSCP 문제 959

다음 중 ATM(Asynchronous Transfer Mode)에 대한 설명으로 옳지 않은 것은?

A. 음성에 사용할 수 있습니다.

B. 데이터에 사용할 수 있습니다.

C. 다양한 크기의 패킷을 나른다.

D. 동영상에 사용할 수 있습니다.

SSCP 문제 960

DES - 데이터 암호화 표준은 128비트 키를 가지며 깨기 매우 어렵습니다.

A. 거짓

B. 사실

SSCP 문제 961

권고 및 규제 보안 정책의 차이점은 무엇입니까?

A. 그들 사이에는 차이가 없다

B. 규제 정책은 높은 수준의 정책이지만 자문 정책은 매우 세부적입니다.

C. 자문 정책은 의무 사항이 아닙니다. 규제 정책을 시행해야 합니다.

D. 자문 정책은 의무화되지만 규제 정책은 그렇지 않습니다.

정답: C

설명/참조:
권고 정책은 반드시 준수해야 하는 것은 아니지만 강력하게 제안되는 보안 정책이며 준수하지 않을 경우 심각한 결과(예: 해고, 작업 조치 경고 등)가 정의될 수 있습니다. 이러한 정책이 있는 회사는 대부분의 직원이 이러한 정책을 의무적으로 고려하기를 원합니다.
대부분의 정책은 이 광범위한 범주에 속합니다.
권고 정책에는 많은 제외 또는 적용 수준이 있을 수 있습니다. 따라서 이러한 정책은 해당 조직 내에서의 역할과 책임에 따라 일부 직원을 다른 직원보다 더 많이 제어할 수 있습니다. 예를 들어, 다음과 같은 정책
트랜잭션 처리를 위한 특정 절차가 필요하며 특정 특정 조건에서 대체 절차를 허용할 수 있습니다.
규제
규정 정책은 규정 준수, 규정 또는 기타 법적 요구 사항으로 인해 조직에서 구현해야 하는 보안 정책입니다. 이러한 회사는 금융 기관, 공공 시설 또는 공익을 위해 운영되는 기타 유형의 조직일 수 있습니다. 이러한 정책은 일반적으로 매우 상세하며 조직이 운영되는 산업에 따라 다릅니다.
규제 정책에는 일반적으로 두 가지 주요 목적이 있습니다.
1. 조직이 특정 산업에서 운영의 표준 절차 또는 기본 관행을 따르고 있는지 확인하기 위해
2. 조직이 표준 및 수용된 산업 정책을 따르고 있다는 확신을 주기 위해
정보 제공 정책은 단순히 독자에게 정보를 제공하기 위해 존재하는 정책입니다. 묵시적이거나 지정된 요구 사항은 없으며 이 정보의 대상은 특정 내부(조직 내) 또는 외부 당사자일 수 있습니다. 이는 정책이 공개적으로 사용하도록 승인되었다는 의미가 아니라 기밀성을 잃지 않고 외부 당사자(예: 엑스트라넷에 액세스하는 공급업체)에 배포할 수 있을 만큼 충분히 일반적이라는 의미입니다.
참조:
KRUTZ, Ronald L. & VINES, Russel D., CISSP Prep Guide: Mastering the Ten Domains of Computer Security, John Wiley & Sons, 2001, 12페이지, 1장: 보안 관리 사례.
또한 참조:
CISSP 준비 가이드: 컴퓨터 보안의 10가지 영역 마스터(Ronald L. Krutz, Russell Dean Vines, Edward M. Stroz)
또한 참조:
http://i-data-recovery.com/information-security/information-security-policies-standards-guidelines-and- procedures

SSCP 문제 962

AIC 트라이어드의 세 가지 구성 요소는 무엇입니까? (3개 선택)

A. 책임

B. 지능

C. 무결성

D. 감금

E. 기밀성

F. 가용성

프리미엄 번들

DumpTop 에서 공유하는 최신 SSCP 시험 덤프는 SSCP 시험패스를 도와드릴수 있습니다! DumpTop 은 최근 업데이트된 SSCP 시험자료를 제공해드립니다. DumpTop SSCP 덤프도 시험문제 변경에 따라 업데이트되었으며 오답도 수정되었습니다. DumpTop SSCP 덤프 최신버전을 공유받아보세요.

SSCP 덤프 프리미엄 버전 액세스

(1338 Q&As 덤프, 30%OFF할인코드: KrDump)

다른 버전: 4911ISC.SSCP.v2024-09-04.q565; 3778ISC.SSCP.v2022-08-26.q269; 10406ISC.SSCP.v2022-02-24.q999

최근 업로드: 170Cisco.500-420.v2026-09-09.q50; 154WGU.Introduction-to-IT.v2026-09-09.q52; 196GARP.2016-FRR.v2026-09-08.q268; 137Oracle.1Z0-1051-26.v2026-09-08.q15; 150DAMA.MD-1220.v2026-09-08.q48; 143Saviynt.SCAIP.v2026-09-07.q20; 344ISC.CCSP-KR.v2026-09-07.q424; 147Oracle.1Z0-1032-26.v2026-09-07.q23; 166Nursing.PMHN-BC.v2026-09-07.q38; 279Cisco.300-430.v2026-09-07.q266