무료 온라인 액세스 Swift.CSP-Assessor.v2025-04-21.q57 모의 시험 (Page 4)

CSP-Assessor 문제 11

SWIFT에 중요한 역할을 하는 개인에게 매년 보안 인식 및 기타 특정 교육을 실시하도록 의무화되어 있습니까? (정답을 선택하세요)
*Swift 고객 보안 제어 정책
*Swift 고객 보안 제어 프레임워크 v2025
*독립적인 평가 프레임워크
*평가자 가이드라인을 위한 독립적인 평가 프로세스
*독립 평가 프레임워크 - 고수준 테스트 계획 지침
*아웃소싱 에이전트 - 보안 요구 사항 기준 v2025
*CSP 아키텍처 유형 - 의사결정 트리
*CSP_컨트롤_매트릭스_및_고_테스트_계획_2025
* 의무적 통제를 위한 평가 템플릿
* 자문 통제를 위한 평가 템플릿

A. 예, 그리고 실적 기록에는 인식과 특정 교육이 매년 수행되었음을 보여주어야 합니다.

B. 아니요, 인식 훈련과 특정 훈련은 모두 필요하다고 판단될 때 계획됩니다.

C. 아니요, 매년 인식 교육을 실시할 예정이며, 필요한 경우에만 필요한 지식을 유지하기 위한 특정 교육이 필요합니다.

D. 아니요, 실적 기록에는 인식 및 특정 훈련이 최소 2년마다(2년마다) 수행되었음을 보여주어야 합니다.

정답: A

CSCF Control "6.1 보안 인식"은 SWIFT에 중요한 역할(예: LSO, RSO, 운영자)을 가진 개인이 보안 정책과 절차를 이해하도록 하기 위한 교육을 의무화합니다. 각 옵션을 평가해 보겠습니다.
*옵션 A: 예, 그리고 추적 기록은 인식과 특정 교육이 매년 수행되었음을 보여줘야 합니다. 이는 맞습니다. Control 6.1은 모든 SWIFT-중요 인력에 대해 매년 보안 인식 교육을 요구하며, 지식을 유지하기 위해 필요에 따라 추가 특정 교육을 실시합니다. "Swift Customer SecurityControls Framework v2025" 및 "필수 제어를 위한 평가 템플릿"은 연간 교육을 의무화하고 준수를 입증하기 위해 추적 기록(예: 로그 또는 인증서)을 요구합니다.
*옵션 B: 아니요, 인식 및 특정 교육은 모두 필요하다고 판단될 때 계획됩니다. 이는 잘못된 것입니다. CSCF는 일관된 보안 인식을 보장하기 위해 임시 계획이 아닌 연간 인식 교육을 의무화합니다.
*옵션 C: 아니요, 인식 훈련은 매년 수행해야 합니다. 필요한 지식을 필요할 때만 유지하기 위한 특정 훈련입니다. 이는 잘못된 것입니다. 특정 훈련은 필요에 따라 수행할 수 있지만 인식 훈련은 명시적으로 매년 요구되므로 이 옵션은 부분적으로 부정확합니다.
*옵션 D: 아니요, 실적은 인식과 특정 교육이 모두 최소 2년마다(2년마다) 수행되었음을 보여줘야 합니다. 이는 잘못된 정보입니다. CSCF는 지침에 명시된 대로 2년이 아니라 연간 인식 교육을 요구합니다.
정답 요약:
매년 보안 인식 및 특정 교육을 수행하도록 의무화되어 있으며, 실적은 다음과 같습니다(A).
SWIFT 고객 보안 프로그램 문서 참조:
*Swift 고객 보안 제어 프레임워크 v2025: Control 6.1은 연간 교육을 의무화합니다.
*의무적 통제에 대한 평가 템플릿: 연간 교육 기록이 필요합니다.
*독립적인 평가 프레임워크: 교육 빈도를 검증합니다.

CSP-Assessor 문제 12

평가자가 SWIFT 사용자의 KYC-SA 증명을 승인할 수 있습니까? (정답을 선택하세요)
*Swift 고객 보안 제어 정책
*Swift 고객 보안 제어 프레임워크 v2025
*독립적인 평가 프레임워크
*평가자 가이드라인을 위한 독립적인 평가 프로세스
*독립 평가 프레임워크 - 고수준 테스트 계획 지침
*아웃소싱 에이전트 - 보안 요구 사항 기준 v2025
*CSP 아키텍처 유형 - 의사결정 트리
*CSP_컨트롤_매트릭스_및_고_테스트_계획_2025
* 의무적 통제를 위한 평가 템플릿
* 자문 통제를 위한 평가 템플릿
*CSCF 평가 완료서
*Swift_CSP_평가_보고서_템플릿

A. 예, KYC-SA 애플리케이션이 2-eyes 모드로 설정된 경우 평가자가 SWIFT 사용자를 대신하여 증명서를 제출하고 승인할 수 있습니다.

B. 예, SWIFT 사용자 CISO의 동의가 있으면 가능합니다.

C. 아니요, 승인은 항상 SWIFT 사용자의 CISO(또는 유사한 책임 수준)의 책임입니다.

D. 아니요, CSP 증명을 제출하는 것은 SWIFT 사용자의 내부 감사의 책임입니다.

정답: C

"평가자를 위한 독립 평가 프로세스 가이드라인"과 "독립 평가 프레임워크"는 KYC-SA(고객 알기 - 보안 증명) 프로세스에서 평가자와 SWIFT 사용자의 역할을 정의합니다. 각 옵션을 평가해 보겠습니다.
*옵션 A: 예, KYC-SA 애플리케이션이 2-eyes 모드로 설정된 경우 평가자가 SWIFT 사용자를 대신하여 증명서를 제출하고 승인할 수 있습니다. 이는 잘못된 설명입니다. 2-eyes 모드(이중 승인)는 평가자의 역할이 아닌 사용자의 내부 프로세스에 적용됩니다. 평가자는 평가를 수행하고 보고서를 제공하지만 KYC-SA 포털에서 증명서를 제출하고 승인하는 것은 일반적으로 CISO 또는 권한이 있는 임원이 사용자의 책임입니다.
*옵션 B: 예, SWIFT 사용자 CISO의 동의가 있을 경우
이는 잘못된 정보입니다. CISO 계약은 평가자가 증명을 승인할 권한을 부여하지 않습니다. CSP는 이 권한을 사용자에게 예약합니다.
*옵션 C: 아니요, 승인은 항상 SWIFT 사용자의 CISO(또는 유사한 책임 수준)의 책임입니다. 맞습니다. "Swift_CSP_Assessment_Report_Template" 및 "CSCF Assessment Completion Letter"는 평가자가 독립적인 평가를 제공하지만 KYC-SA에 대한 증명의 최종 승인 및 제출은 "평가자 지침에 대한 독립적인 평가 프로세스"에 따라 SWIFT 사용자의 CISO 또는 동등한 고위 임원의 책임입니다.
*옵션 D: 아니요, CSP 증명을 제출하는 것은 SWIFT 사용자의 내부 감사의 책임입니다. 이는 잘못된 내용입니다. 내부 감사는 독립성 요구 사항으로 인해 증명을 제출하거나 승인할 수 없습니다. 이 역할은 CISO 또는 지정된 사용자 담당자에게 속합니다.
정답 요약:
평가자는 증명을 승인할 수 없습니다. 이 책임은 CISO 또는 유사한 사용자 책임자(C)에게 있습니다.
SWIFT 고객 보안 프로그램 문서 참조:
*평가자를 위한 독립적인 평가 프로세스 지침: 평가자와 사용자 역할을 정의합니다.
*독립적인 평가 프레임워크: 증명 승인에 대한 사용자 책임을 지정합니다.
*Swift_CSP_Assessment_Report_Template: 평가 프로세스를 설명합니다.

CSP-Assessor 문제 13

IaaS 클라우드 모델에서 클라우드 공급업체가 일반적으로 고려해야 할 핵심 요소는 무엇입니까?
(해당되는 두 가지 정답을 선택하세요)
*Swift 고객 보안 제어 정책
*Swift 고객 보안 제어 프레임워크 v2025
*독립적인 평가 프레임워크
*평가자 가이드라인을 위한 독립적인 평가 프로세스
*독립 평가 프레임워크 - 고수준 테스트 계획 지침
*아웃소싱 에이전트 - 보안 요구 사항 기준 v2025
*CSP 아키텍처 유형 - 의사결정 트리
*CSP_컨트롤_매트릭스_및_고_테스트_계획_2025
* 의무적 통제를 위한 평가 템플릿
* 자문 통제를 위한 평가 템플릿
*CSCF 평가 완료서
*Swift_CSP_평가_보고서_템플릿

A. 클라우드 제공자는 클라우드 제공자가 책임지는 관련 범위 내 구성 요소(부록 G에 따른 기본 인프라 등)에 적용 가능한 모든 CSCF 제어를 포함해야 합니다.

B. 클라우드 제공자는 SWIFT 사용자 구성 요소를 호스팅하는 가상화 계층에서 제어 구현 효과의 편의성을 제공해야 합니다.

C. 클라우드 제공자는 사용자가 배포한 SWIFT 사용자 구성 요소/애플리케이션의 변경 관리 프로세스에 대해 완전한 보증을 제공해야 합니다.

D. 클라우드 제공자는 SWIFT 연결 서비스의 연속성을 보장하기 위해 구현된 복원성에 대해 안심을 제공해야 합니다.

정답: A,B

SWIFT의 Alliance Cloud와 같은 Infrastructure as a Service(IaaS) 클라우드 모델에서 클라우드 제공자는 기본 인프라(예: 하드웨어, 가상화 계층, 네트워크)에 대한 책임이 있는 반면 고객은 애플리케이션과 데이터를 관리합니다. SWIFT CSP, 특히 "Outsourcing Agents - Security Requirements Baseline v2025" 및 "Swift Customer Security Controls Framework v2025"는 클라우드 제공자의 책임을 설명합니다. 각 옵션을 평가해 보겠습니다.
*옵션 A: 클라우드 제공자는 클라우드 제공자가 책임지는 관련 범위 내 구성 요소(예: 부록 G에 따른 기본 인프라)에 적용되는 모든 CSCF 제어를 포함해야 합니다. 이는 맞습니다. IaaS 모델에서 클라우드 제공자는 SWIFT 구성 요소를 호스팅하는 기본 인프라(예: 물리적 서버, 네트워크, 가상화 계층)를 보호할 책임이 있습니다. CSCF(또는 관련 아웃소싱 가이드라인)의 부록 G는 제공자가 구현해야 하는 제어를 지정하며, 여기에는 CSCF 제어 "1.1 SWIFT 환경 보호" 및 "2.3 시스템 강화"에 따른 제어가 포함됩니다. 제공자는 관리하는 인프라에 대해 이러한 제어가 충족되도록 해야 합니다.
*옵션 B: 클라우드 제공자는 SWIFT 사용자 구성 요소를 호스팅하는 가상화 계층에서 제어 구현 효과의 편의성을 제공해야 함 이는 맞습니다. 가상화 계층(예: 하이퍼바이저)은 IaaS 제공자의 책임의 일부이며, 제공자는 보안 제어가 효과적으로 구현되었다는 보증(예: 감사 또는 보고서를 통해)을 제공해야 합니다. 이는 아웃소싱 에이전트에 대한 CSCF 요구 사항과 일치하여 가상화 계층이 "독립 평가 프레임워크"에 명시된 대로 SWIFT 보안 영역을 지원하도록 보장합니다.
*옵션 C: 클라우드 제공자는 사용자가 배포한 SWIFT 사용자 구성 요소/애플리케이션의 변경 관리 프로세스에 대한 완전한 보증을 제공해야 함 이는 잘못된 설명입니다. IaaS 모델에서 SWIFT 사용자 구성 요소(예: Alliance Access 구성)에 대한 변경 관리가 고객의 책임입니다. 클라우드 제공자는 사용자가 배포한 애플리케이션에 대해 책임을 지지 않고 기본 인프라에 대해서만 책임을 집니다. "아웃소싱 에이전트 - 보안 요구 사항 기준 v2025"는 이 경계를 명확히 합니다.
*옵션 D: 클라우드 제공자는 SWIFT 연결 서비스의 연속성을 보장하기 위해 마련된 복원성에 대해 안심시켜야 함 이는 주요 핵심 요소로는 잘못된 것입니다. 복원성은 중요하지만(예: CSCF Control 1.1) 특정 IaaS 책임이라기보다는 더 광범위한 운영 문제입니다. 제공자는 인프라 가용성을 보장하지만 SWIFT 연결의 연속성은 고객이 통신 인터페이스(예: Alliance Gateway)를 관리하는 공유 책임입니다.
정답 요약:
IaaS 모델에서 클라우드 공급업체에게 가장 중요한 요소는 인프라에 적용 가능한 CSCF 제어를 포함하는 것(A)과 가상화 계층의 제어 효과에 대한 확신을 제공하는 것(B)입니다.
SWIFT 고객 보안 프로그램 문서 참조:
*Swift 고객 보안 제어 프레임워크 v2025: 클라우드 모델의 책임을 정의합니다(제어 1.1, 부록 G).
*아웃소싱 에이전트 - 보안 요구 사항 기준 v2025: IaaS에서 공급자의 책임을 설명합니다.
*독립적인 평가 프레임워크: 가상화 계층 보안에 대한 보증이 필요합니다.

CSP-Assessor 문제 14

침입 탐지 제어는 다음 기술을 통해 충족될 수 있습니다. (정답을 선택하세요)
*Swift 고객 보안 제어 정책
*Swift 고객 보안 제어 프레임워크 v2025
*독립적인 평가 프레임워크
*평가자 가이드라인을 위한 독립적인 평가 프로세스
*독립 평가 프레임워크 - 고수준 테스트 계획 지침
*아웃소싱 에이전트 - 보안 요구 사항 기준 v2025
*CSP 아키텍처 유형 - 의사결정 트리
*CSP_컨트롤_매트릭스_및_고_테스트_계획_2025
* 의무적 통제를 위한 평가 템플릿
* 자문 통제를 위한 평가 템플릿

A. 국립감염병연구소(NIDS)

B. HIDS

C. EDR 및 XDR

D. 위의 모든 것의 조합

정답: D

CSCF Control "4.2 침입 탐지"는 SWIFT 사용자가 SWIFT 환경 내에서 무단 액세스 또는 활동을 탐지하도록 요구합니다. "Swift Customer Security Controls Framework v2025"는 다양한 기술을 사용하여 이 통제를 충족하는 데 유연성을 제공합니다. 각 옵션을 평가해 보겠습니다.
*옵션 A: NIDS(네트워크 침입 탐지 시스템)
이는 유효합니다. NIDS는 침입(예: VPN 상자)을 감지하기 위해 네트워크 트래픽을 모니터링하고 Control과 일치시킵니다.
"4.2" 외부 위협을 식별합니다.
*옵션 B: HIDS(호스트 침입 탐지 시스템)
이는 유효합니다. HIDS는 개별 호스트(예: Alliance Access를 실행하는 서버)를 모니터링하여 의심스러운 활동을 감지하고 내부 위협 탐지를 위한 Control "4.2"를 지원합니다.
*옵션 C: EDR 및 XDR(Endpoint Detection and Response, Extended Detection and Response) 이는 유효합니다. EDR 및 XDR은 엔드포인트와 환경 전반에 대한 고급 모니터링 및 대응 기능을 제공하여 침입을 탐지하고 대응하기 위한 Control "4.2" 요구 사항을 충족합니다.
*옵션 D: 위의 모든 것의 조합
맞습니다. CSCF는 계층화된 보안 접근 방식을 장려하며
"CSP_controls_matrix_and_high_test_plan_2025"와 "필수 제어를 위한 평가 템플릿"은 아키텍처와 위험 프로필에 따라 제어 "4.2"를 포괄적으로 충족하기 위해 NIDS, HIDS, EDR 및 XDR의 조합을 허용합니다.
정답 요약:
침입 탐지 제어는 NIDS, HIDS, EDR, XDR(D)의 조합을 통해 충족될 수 있습니다.
SWIFT 고객 보안 프로그램 문서 참조:
*Swift 고객 보안 제어 프레임워크 v2025: Control 4.2는 여러 가지 감지 기술을 허용합니다.
*CSP_controls_matrix_and_high_test_plan_2025: 결합된 접근 방식을 지원합니다.
* 필수 통제를 위한 평가 템플릿: 다양한 침입 탐지 방법이 포함되어 있습니다.

CSP-Assessor 문제 15

CSP 평가를 실시하기 위한 지원 문서를 선택하세요. (해당되는 모든 항목을 선택하세요.)

A. CSP 사용자 핸드북

B. 산업 표준 문서에 대한 매핑

C. 제어 매트릭스 및 고수준 테스트 P

D. 고객 보안 제어 프레임워크