카테고리 ISACA

소프트웨어 프로젝트 관리에 대한 애자일 접근 방식의 핵심 원칙은 팀 학습과 프로젝트가 진행됨에 따라 프로젝트 관리 및 소프트웨어 개발 프로세스를 개선하기 위한 팀 학습의 활용입니다. 이를 달성하는 가장 좋은 방법 중 하나는 각 반복이 끝날 때마다 팀이 무엇이 잘 작동하고 무엇이 더 잘 작동할 수 있었는지 고려하고 문서화하여 후속 반복에서 구현할 개선 사항을 식별하는 것입니다. CMM과 애자일은 정반대의 극단에 서 있습니다. CMM은 사전 정의된 공식적인 프로세스와 공식적인 프로젝트 관리 및 소프트웨어 개발 결과물에 중점을 둡니다. 반면 애자일 프로젝트는 프로젝트의 특정 요구 사항과 팀 역학 관계에 따라 프로세스를 개선하는 데 중점을 둡니다. 또한 공식적인 문서 기반 결과물을 덜 중요시하며, 팀 내 및 외부 주요 기여자와의 효과적인 비공식 커뮤니케이션을 선호합니다. 애자일 프로젝트는 일반적으로 4주에서 8주 사이의 짧은 반복을 통해 릴리스 가능한 소프트웨어를 제작합니다. 이는 그 자체로 팀 내에 상당한 성과 규율을 심어줍니다. 여기에 매일 짧은 회의를 통해 팀이 하고 있는 일에 대해 합의하고 장애물을 파악하는 것이 더해지면 일정에 대한 작업 수준 추적이 불필요해집니다. 애자일 프로젝트는 적절한 개발 도구를 사용하지만, 도구가 생산성을 달성하는 주요 수단으로 간주되지는 않습니다. 팀의 화합, 효과적인 커뮤니케이션, 집단적 문제 해결 능력은 다음과 같습니다.

섹션: IT 거버넌스 및 관리

섹션: 정보 시스템 운영, 유지 관리 및 지원
설명:
구리 케이블은 설치가 매우 간단하고 탭하기 쉽습니다. 주로 단거리용으로 사용되며 음성 및 데이터를 지원합니다.
시험을 위해 아래 전송 매체에 대한 정보를 알아두어야 합니다:
구리 케이블
구리 케이블은 설치가 매우 간단하고 탭하기 쉽습니다. 주로 단거리용으로 사용되며 음성 및 데이터를 지원합니다.
구리는 전자석과 전신이 발명된 이래 전기 배선에 사용되어 왔습니다.
1820년대.1876년 전화가 발명되면서 전기 전도체로서 구리선에 대한 수요가 더욱 증가했습니다.
구리는 여러 종류의 전기 배선에 사용되는 전기 전도체입니다. 구리선은 발전, 송전, 배전, 통신, 전자 회로 및 수많은 유형의 전기 장비에 사용됩니다. 구리와 그 합금은 전기 접점을 만드는 데도 사용됩니다. 건물의 전기 배선은 구리 산업에서 가장 중요한 시장입니다. 채굴되는 구리의 약 절반이 전선 및 케이블 도체 제조에 사용됩니다.
구리 케이블

동축 케이블
동축 케이블 또는 동축('ko.aks'로 발음)은 내부 도체가 관형 절연 층으로 둘러싸여 있고 관형 전도성 실드로 둘러싸인 케이블의 한 유형입니다. 많은 동축 케이블에는 절연 외부 피복 또는 재킷도 있습니다. 동축이라는 용어는 내부 도체와 외부 쉴드가 기하학적 축을 공유하는 데서 유래했습니다. 동축 케이블은 1880년 영국의 엔지니어이자 수학자인 올리버 헤비사이드가 발명하여 특허를 받았으며, 동축 케이블은 오디오 신호와 같은 저주파 신호를 전송하는 데 사용되는 다른 차폐 케이블과 달리 무선 주파수 전송선으로서 효율적으로 기능하기 위해 필요한 정밀하고 일정한 도체 간격을 제공하도록 케이블의 치수가 제어된다는 점에서 차이가 있습니다.
동축 케이블은 비싸고 많은 LAN을 지원하지 않습니다. 데이터와 비디오를 지원합니다.

동축 케이블
광섬유
광섬유 케이블은 빛을 전달하는 데 사용되는 하나 이상의 광섬유가 포함된 케이블입니다. 광섬유 요소는 일반적으로 개별적으로 플라스틱 층으로 코팅되어 있으며 케이블이 배치될 환경에 적합한 보호 튜브에 들어 있습니다. 장거리 통신이나 건물의 여러 부분 간에 고속 데이터 연결을 제공하는 등 다양한 유형의 케이블이 다양한 용도로 사용됩니다.
장거리용으로 사용되는 광섬유로, 접합이 어렵고 혼선에 취약하지 않으며 탭핑이 어렵습니다. 음성 데이터, 이미지 및 비디오를 지원합니다.
광섬유

무선 시스템
무선 시스템은 단거리에서 저렴하고 쉽게 가로채기 위해 사용됩니다.
라디오는 대기 또는 자유 공간을 통한 전자기 신호의 복사(무선 전송)를 말합니다.
소리와 같은 정보는 진폭, 주파수, 위상 또는 펄스 폭과 같은 방사파의 일부 속성을 체계적으로 변경(변조)하여 전달됩니다. 전파가 전기 도체에 부딪히면 진동 장이 도체에 교류를 유도합니다. 전파의 정보를 추출하여 원래의 형태로 다시 변환할 수 있습니다.
마이크로파 라디오 시스템
마이크로파 전송은 파장을 센티미터 단위로 편리하게 측정할 수 있는 전파를 사용하여 정보나 에너지를 전송하는 기술을 말하며, 이를 마이크로파라고 합니다.
마이크로파는 파장이 짧아 수신 안테나를 직접 겨냥할 수 있는 좁은 빔을 편리한 크기의 안테나로 보낼 수 있기 때문에 지점 간 통신에 널리 사용됩니다. 따라서 주변의 마이크로파 장비가 저주파 전파처럼 서로 간섭하지 않고 동일한 주파수를 사용할 수 있습니다. 또 다른 장점은 마이크로파의 고주파가 마이크로파 대역에 매우 큰 정보 전달 용량을 제공한다는 것입니다. 마이크로파 대역은 그 아래의 나머지 모든 무선 스펙트럼의 30배에 달하는 대역폭을 가지고 있습니다. 단점은 마이크로파는 가시선 전파로 제한되어 저주파 전파처럼 언덕이나 산을 통과할 수 없다는 것입니다.
마이크로파 무선 전송은 일반적으로 지구 표면의 지점 간 통신 시스템, 위성 통신 및 심우주 무선 통신에 사용됩니다. 마이크로파 무선 대역의 다른 부분은 레이더, 무선 내비게이션 시스템, 센서 시스템 및 무선 천문학에 사용됩니다.
마이크로파 무선 시스템은 음성 데이터 신호용 캐리어로, 저렴하고 쉽게 이용할 수 있습니다.
마이크로파 라디오 시스템

위성 라디오 링크
위성 라디오는 주로 위성에서 차량으로 방송되는 라디오 서비스로, 지상파 라디오 방송국보다 훨씬 더 넓은 지역에 걸쳐 전국적으로 신호가 송출됩니다. 대부분 무료로 구독할 수 있으며 지상파 라디오보다 더 많은 방송국과 다양한 프로그램 옵션을 구독자에게 제공합니다.
위성 라디오 링크는 트랜스폰더를 사용하여 정보를 전송하고 쉽게 가로챌 수 있습니다.
다음 정답은 올바르지 않습니다:
광섬유 - 광섬유 케이블은 장거리에 사용되며, 접합이 어렵고 혼선에 취약하지 않으며 탭핑이 어렵습니다. 음성 데이터, 이미지 및 비디오를 지원합니다.
라디오 시스템 - 라디오 시스템은 단거리에서 저렴하고 쉽게 사용할 수 있습니다.
위성 라디오 링크 - 위성 라디오 링크는 트랜스폰더를 사용하여 정보를 전송하고 쉽게 탭할 수 있습니다.
참조:
CISA 검토 매뉴얼 2014 페이지 번호 265

섹션: 정보 자산 보호

소프트웨어 개발자가 개발 및 테스트 환경에서 사용할 수 있도록 허용하면서 특정 데이터 형식에 저장된 개인 식별 정보(PII)와 같은 민감한 정보를 보호하는 가장 좋은 방법은 데이터 마스킹입니다. 데이터 마스킹은 민감한 데이터 요소를 데이터의 원래 형식과 특성을 유지하는 가상의 데이터 요소 또는 수정된 데이터 요소로 대체하거나 가리는 기술입니다. 데이터 마스킹은 소프트웨어나 애플리케이션의 기능이나 성능에 영향을 주지 않고 실제 데이터 값이 노출되거나 공개되는 것을 방지하여 소프트웨어 개발자가 개발 및 테스트 환경에서 사용할 수 있도록 하면서 특정 데이터 형식에 저장된 PII와 같은 민감한 정보를 보호하는 데 도움이 될 수 있습니다. 다른 옵션은 소프트웨어 개발자가 개발 및 테스트 환경에서 사용할 수 있도록 허용하면서 특정 데이터 형식으로 저장된 PII와 같은 민감한 정보를 보호하는 데 있어 데이터 마스킹만큼 효과적이지 않으며, 다른 제한 사항이나 단점이 있습니다. 데이터 토큰화는 민감한 데이터 요소를 내재적 가치나 의미가 없는 비민감 토큰으로 대체하는 기술입니다. 데이터 토큰화는 무단 액세스나 도난으로부터 PII와 같은 민감한 정보를 보호할 수 있지만 데이터의 원래 형식과 특성을 유지하지 못할 수 있으므로 소프트웨어 또는 애플리케이션의 기능이나 성능에 영향을 미칠 수 있습니다.
데이터 암호화는 알고리즘과 키를 사용하여 민감한 데이터 요소를 읽을 수 없거나 이해할 수 없는 암호 텍스트로 변환하는 기술입니다. 데이터 암호화는 무단 액세스나 수정으로부터 PII와 같은 민감한 정보를 보호할 수 있지만, 원래 데이터 값을 복원하려면 암호 해독이 필요하므로 소프트웨어 개발 프로세스에 추가적인 복잡성이나 오버헤드가 발생할 수 있습니다. 데이터 추상화는 단순화된 표현이나 인터페이스를 제공하여 사용자나 프로그래머에게 데이터 구조나 작업의 세부 사항이나 복잡성을 숨기는 기술입니다. 데이터 추상화는 소프트웨어 또는 애플리케이션의 사용성이나 유지보수성을 개선하는 데 도움이 될 수 있지만, PII와 같은 민감한 정보가 노출되거나 공개되지 않도록 보호하지는 못합니다. 참고자료: CISA 검토 매뉴얼(디지털 버전), 5장, 5.3.2절

유효성 검사는 시스템 인터페이스의 데이터 무결성을 보장하는 데 도움이 되는 데이터 품질 관리의 한 유형입니다. 유효성 검사는 시스템 간에 입력되거나 전송된 데이터가 정확하고 일관성이 있으며 미리 정의된 규칙이나 표준을 준수하는지 확인합니다. 유효성 검사를 통해 시스템의 기능, 성능 또는 보안에 영향을 줄 수 있는 데이터의 오류, 이상 또는 불일치를 방지하거나 감지할 수 있습니다.
유효성 검사는 시스템 인터페이스의 데이터 무결성을 보장하는 일반적이고 효과적인 방법이기 때문에 옵션 C가 맞습니다. 유효성 검사는 입력, 처리, 출력 또는 저장과 같은 데이터 수명 주기의 다양한 단계에서 수행할 수 있습니다. 유효성 검사는 데이터 유형, 코드, 범위, 형식, 일관성, 고유성 등 다양한 유형의 데이터에도 적용할 수 있습니다.
시스템 인터페이스 테스트는 두 개의 개별 시스템 또는 시스템 구성 요소 간의 상호 작용을 검증하는 소프트웨어 테스트의 한 유형이므로 옵션 A는 올바르지 않습니다. 시스템 인터페이스 테스트는 시스템 인터페이스에 대한 데이터의 무결성을 직접 보장하는 것이 아니라 인터페이스 자체의 기능과 안정성을 보장합니다. 시스템 인터페이스 테스트는 테스트 케이스의 일부로 유효성 검사를 사용할 수 있지만 유효성 검사와는 다릅니다.
사용자 승인 테스트(UAT)는 시스템이 사용자의 기대와 요구 사항을 충족하는지 평가하는 소프트웨어 테스트의 한 유형이므로 옵션 B는 올바르지 않습니다. UAT는 시스템 인터페이스에 대한 데이터의 무결성을 직접 보장하는 것이 아니라 사용자 관점에서 시스템의 사용성과 수용성을 보장합니다. UAT는 테스트 시나리오의 일부로 유효성 검사를 사용할 수 있지만 유효성 검사와는 다릅니다.
감사 로그는 시스템 또는 네트워크 내에서 발생하는 이벤트 및 활동의 기록이므로 옵션 D는 올바르지 않습니다. 감사 로그는 시스템 인터페이스에 대한 데이터의 무결성을 직접 보장하는 것이 아니라 시스템 운영 및 보안에 대한 증거와 책임을 제공합니다. 감사 로그는 분석 또는 보고의 일부로 유효성 검사를 사용할 수 있지만 유효성 검사와는 다릅니다.
참조:
* CISA 온라인 복습 과정1, 모듈 5: 정보 자산 보호, 레슨 4: 데이터 품질 관리, 슬라이드 5-6.
* CISA 검토 매뉴얼(디지털 버전)2, 5장: 정보 자산의 보호, 섹션 5.3: 데이터 품질 관리, 281-282페이지.
* CISA 검토 매뉴얼(인쇄본), 5장: 정보 자산 보호, 섹션 5.3: 데이터 품질 관리, 281-282페이지.
* CISA 질문, 답변 및 설명 데이터베이스3, 질문 ID: QAE_CISA_722.
* 데이터 유효성 검사 - 개요, 유형, 실제 사례4
* 데이터 유효성: 비즈니스를 위한 모범 사례5
* 유효성 검사 - 데이터 유효성 검사6
* 데이터 검증이란 무엇인가요? 유형, 기법, 도구7

멀웨어 방지 도구 감사 로그는 IS 감사자에게 모든 워크스테이션에서 매일 멀웨어를 검사해야 한다는 글로벌 조직의 정책을 지속적으로 준수하고 있다는 가장 좋은 증거를 제공합니다. 안티멀웨어 도구 감사 로그는 워크스테이션에 설치된 안티멀웨어 소프트웨어와 관련된 활동 및 이벤트(예: 검사 일정, 검사 결과, 업데이트, 경고 및 수행한 조치1)를 캡처한 기록입니다. 이러한 로그는 IS 감사자가 멀웨어 방지 소프트웨어가 제대로 작동하는지, 스캔이 정기적으로 효과적으로 수행되는지, 멀웨어 사고가 적시에 탐지 및 해결되는지 확인하는 데 도움이 될 수 있습니다2. 또한 멀웨어 방지 도구 감사 로그는 IS 감사자가 멀웨어 방지 정책 또는 구현의 공백이나 약점을 파악하고 개선 권장 사항을 제공하는 데 도움이 될 수 있습니다3.
다른 옵션은 멀웨어 방지 정책을 지속적으로 준수하고 있다는 가장 좋은 증거는 아닙니다. 모의 침투 테스트 결과는 외부 또는 내부 공격자의 관점에서 워크스테이션과 네트워크의 취약성과 위험을 보여주는 보고서입니다4. 모의 침투 테스트는 조직의 보안 상태와 복원력을 평가하는 데 도움이 될 수 있지만, 일일 안티멀웨어 검사나 그 결과에 대한 정보는 제공하지 않습니다. 경영진 증명은 맬웨어 방지 정책을 준수했다는 경영진의 진술 또는 선언입니다5. 경영진 증명은 헌신과 책임감을 보여줄 수 있지만, 규정 준수에 대한 객관적이고 검증 가능한 증거는 제공하지 않습니다. 최근 멀웨어 검사 보고서는 워크스테이션에서 수행된 최신 멀웨어 검사에 대한 요약 또는 세부 정보를 보여주는 문서입니다. 최근 멀웨어 검사 보고서는 멀웨어 방지 소프트웨어의 현재 상태와 성능을 나타낼 수 있지만, 규정 준수에 대한 과거 또는 포괄적인 증거는 제공하지 않습니다.
참조:
* Malwarebytes 안티-멀웨어(MBAM) 로그 수집 및 위협 보고서 ...
* Windows 감사 로그를 사용한 악성 행위 탐지
* PCI 요구 사항 5.2 - 모든 안티 바이러스 메커니즘이 최신 상태인지 확인 ...
* 관리 증명 - 개요 | ScienceDirect 주제
* 멀웨어 검사 보고서를 읽는 방법 | Techwalla

섹션: 정보 자산 보호
설명/참조:
네트워크 보안에서 선별된 서브넷 방화벽은 이중 홈 게이트웨이와 선별된 호스트의 변형입니다.
방화벽. 방화벽의 구성 요소를 별도의 시스템으로 분리하는 데 사용할 수 있으며, 이를 통해 다음을 달성할 수 있습니다.
단순성을 희생하더라도 처리량과 유연성이 향상됩니다. 각 컴포넌트 시스템의
선별된 서브넷 방화벽은 특정 작업만 구현하면 되며, 각 시스템은 다음과 같이 덜 복잡합니다.
구성합니다.
차단된 서브넷 방화벽은 비무장지대(DMZ)를 설정하는 데 자주 사용됩니다.
다음은 방화벽 구현의 몇 가지 예입니다:
차단된 호스트 방화벽
패킷 필터링 라우터와 바스티온 호스트를 활용하는 이 접근 방식은 기본 네트워크 계층을 구현합니다.
보안 및 애플리케이션 서버 보안.
이 구성에서 침입자는 비공개 시스템의 보안을 뚫기 전에 두 개의 별도 시스템에 침투해야 합니다.
네트워크가 손상될 수 있습니다.
이 방화벽 시스템은 패킷을 사용하여 사설 네트워크에 연결된 바스티온 호스트로 구성됩니다.
인터넷과 바스티온 호스트 사이의 필터링 라우터
듀얼 홈 방화벽
각각 다른 네트워크에 연결된 두 개 이상의 네트워크 인터페이스가 있는 방화벽 시스템
방화벽 구성에서 이중 홈 방화벽 시스템은 일반적으로 다음 중 일부 또는 전부를 차단하거나 필터링하는 역할을 합니다.
네트워크 사이를 통과하려는 트래픽
이중 호스트 방화벽 시스템은 보다 제한적인 형태의 선별 호스트 방화벽 시스템입니다.
비무장지대(DMZ) 또는 차단된 서브넷 방화벽
두 개의 패킷 필터링 라우터와 바스티온 호스트 활용
이 접근 방식은 네트워크 및 애플리케이션 레벨을 지원하므로 가장 안전한 방화벽 시스템을 만듭니다.
별도의 DMZ 네트워크를 정의하면서 보안 유지
일반적으로 DMZ는 인터넷 및 조직의 사설 네트워크에서 액세스를 제한하도록 구성됩니다.
다음은 오답입니다:
옵션에 언급된 다른 유형의 방화벽은 두 개의 패킷 필터링 라우터와 바스티온을 활용하지 않습니다.
호스트.
이 질문을 만드는 데 사용된 참조 자료는 다음과 같습니다:
CISA 검토 매뉴얼 2014 페이지 번호 346

네트워크를 통해 전송되는 모든 데이터는 악의적인 사람에 의해 도청되거나 수정될 위험이 있습니다. 폐쇄형 시스템으로 작동하는 기계도 TEMPEST와 같은 하드웨어에서 생성되는 희미한 전자기 전송을 모니터링하여 도청할 수 있습니다.

설명
IT 전략 수정의 효과에 대한 가장 좋은 증거는 IT 활동과 기업 목표의 동기화입니다. IT 전략 수정은 IT 전략이 기업 전략 및 목표와 일치하고 이를 지원하는지 확인하기 위해 IT 전략을 검토하고 조정하는 프로세스입니다. IT 활동과 기업 목표의 동기화는 IT 활동이 기업 목표 및 비전 달성에 부합하고 기여한다는 것을 의미합니다. IS 감사자는 IT 활동을 기업 목표와 비교하고 IT 활동이 조정, 통합 및 조정되었는지 평가하여 IT 전략 수정의 효과를 측정하고 평가할 수 있습니다. 다른 옵션은 IT와 비즈니스의 연계성을 반영하지 않거나 결과나 결과가 아닌 IT 전략 수정 프로세스의 투입물 또는 산출물이기 때문에 IT 전략 수정의 효과에 대한 좋은 증거가 되지 못합니다. 참고자료: CISA 검토 매뉴얼(디지털 버전)1, 1장, 1.2.1절

섹션: 정보 자산 보호
설명:
선택지 A, B 및 C는 감사 대상 영역과 관련이 없으므로 올바르지 않습니다. 심사원은 제안된 신청서를 검토할 때 구매하려는 제품이 현재 또는 계획된 OS와 호환되는지 확인해야 합니다. 선택지 A의 경우, 현재 사용 중인 OS는 기존 하드웨어 플랫폼과 호환되며, 호환되지 않는 경우 제대로 작동하지 않을 수 있기 때문입니다. 선택 B의 경우, 조직에 미치는 부정적인 영향을 최소화하기 위해 계획된 OS 업데이트 일정을 잡아야 합니다. 선택 C의 경우, 설치된 OS에 최신 버전과 업데이트(충분한 기록과 안정성을 갖춘)가 설치되어 있어야 합니다.

원본 데이터의 정확성은 데이터 웨어하우스에 있는 데이터의 품질을 위한 전제 조건입니다. 데이터 원본의 신뢰성, 정확한 추출 프로세스, 정확한 변환 루틴은 모두 중요하지만 부정확한 데이터를 양질의(정확한) 데이터로 바꾸지는 못합니다.

섹션: 정보 자산 보호
설명:
네트워크 백본에 장애가 발생하면 전체 네트워크에 장애가 발생하고 모든 사용자가 네트워크의 정보에 액세스하는 데 영향을 미칩니다. 대체 PBX 시스템을 사용할 수 없는 경우 사용자는 전화나 팩스를 걸거나 받을 수 없지만 휴대폰이나 이메일과 같은 대체 통신 수단이 있을 수 있습니다. 사용자 PC의 백업 시스템이 부족하면 모든 사용자가 아닌 특정 사용자에게만 영향을 미칩니다. 출입 카드 시스템의 장애는 지정된 작업 영역에 출입하는 사용자의 기록을 유지하는 기능에 영향을 미치지만 수동 모니터링 제어를 통해 완화할 수 있습니다.

섹션: 정보 자산 보호
설명:
지속적인 모니터링 시스템을 구현할 때 IS 감사자의 첫 번째 단계는 조직 내에서 고위험 영역을 식별하는 것입니다.