CCSP用語 ドメイン２
証明書を発行する秘密鍵は、その証明書が保護するデータと同等以上のセキュリティで保護されなければならない
- 「最高レベル」ではなく「リスクに見合った同等以上」
シークレットのライフサイクル
- 作成 → ローテーション → 失効 → 期限切れ
データ難読化技術
データラベリング
- 言語
- 管轄区域（どの国の法に従うか）
- 取り扱い制限（機密・社外秘など）
※出典は取り扱わない
データマスキング
- 静的データマスキング：本番データを使わずに、テスト環境・サンドボックスで動作確認できるようにするための技術。
- 動的マスキング＝本番環境向け（人に応じてマスキングするしないを制御する）
説明責任（アカウンタビリティ）
- だれがやったかを示す要素＝ユーザーID
対称暗号鍵
- 1つ
- 1000人で使う場合は4950
非対称暗号鍵
- 2つ
- 1000人で使う場合は2000
非対称暗号で証明書の真正性を確認する鍵
- CAの公開鍵
- 署名をCAの秘密鍵で行うため
DLPの誤検知
- データにラベル付けが効果的
ログ管理
- クラウドプロバイダーが提供しているログ監視サービスはIaaSのイベントを取得できる
データマッピング
- 別データベース間のフィールドを対応付けする
分類ポリシーの目的
- 機密レベルの決定
- 保護の強度を設定
- 取り扱い責任の定義
ラベリング
- ラベル付けは使用フェーズで最も利用される
- クラウドプロバイダーはラベルの割り当てはしない
Sensitivity
- 情報の重要度
Confidentialiy
- アクセス制限がどれくらい高いか
データの復元
- 誤操作から簡単に復元する方法はバージョン管理
データディスカバリ
- 最初に行うステップ→メタデータ抽出とカタログ化
バックアップ
- 一番バックアップ量が少ないのは増分バックアップ
安全性が低いMFA
- SMS：SIMスワップ攻撃、SMS傍受、キャリア依存など、最も弱い認証要素
編集
- 編集とは、公開されたデータから機密情報を削除するプロセス
証明書利用者
- サービスプロバイダーのこと
データ処理
- 収集、保存、変更、利用、移転、開示、破棄、印刷
※閲覧は処理とみなされない
Blowfish
- 対称ブロック暗号
AES
- 対称ブロック暗号
休止状態のVM
- 完全なイメージ（スナップショット）として保存
NIC
- 仮想、物理とわずレイヤー２
ライセンス
- コストがかかる（攻撃対象になっても）
暗号化消去
- 2つの暗号システムが必要
IAMの最終目標
- 説明責任
データベースの特定のテーブルを暗号化
- 透過的暗号化
データ分散
- 不注意なユーザーによる損失は防げない
- データの回復に貢献
マスキング
- 表示やテストのためにデータが隠されるがもとには戻せない
ハッシュ
- 一方向の出力を生成、元には戻せない
クリア
- ゴミ箱からファイルを削除
パージ
- ランダムデータで上書き、もしくは暗号消去
破壊
- 物理メディアを破壊
データ分類
- 機密レベルを特定しラベルをつける
- 適切なセキュリティ管理を割り当てる必要がある
- データの種類（タイプ）は規制や法律を判断するのに役立つ
保持期間
- データ保持期間の決定
保存形式
- どういう形式で保存するか
データディスカバリ（セキュリティ）
- 組織内のデータを識別し、カタログ化
eDiscovery
- 法的調査のためのデータを見つける
非構造化データ
- 形式、サイズ、量などがバラバラ、ビッグデータ
字句解析
- データの意味と文脈を見つける
ケルクホフスの原理
- キーが秘密であれば暗号システムは安全
PHI(保護された健康情報）
- 人口統計情報、病歴、身体的および精神的健康情報、検査結果
暗号化レベル
- ファイルレベル：プロセスが頻繁で運用負荷が高い
- オブジェクトレベル：S3への暗号化でオーバーヘッド高い
- アプリケーションレベル：コストと時間がかかる
- ボリュームレベル：読み書きのたびに自動で、暗号、復号
IRM
- 企業ドキュメントの利用制御など
- 転送中に暗号化保護を行う
出力監視ソリューション
- 不測の事態レベルのイベントを予測することはできない
否認防止
- デジタル署名が有効
データラベルに必要な物
- 作成日、破棄予定日、機密レベル
暗号化消去
- まず、暗号化を行う
事業影響度分析（BIA）で特定されたデータのラベル
- 重要性
IRMと特権
- 共有フェーズで深く関与
データ分類スキームに含めるもの
- データ所有者の決定
データアーカイブポリシーに含めるもの
- データの形式と種類
