既存環境のSecurity Postureを評価する

ある企業では、必要なセキュリティ制御がすべて文書化されている。実環境を調査すると、一部リソースは制御の対象外であり、別のリソースでは制御が設定されているものの期待した保護が成立していない。セキュリティ体制を評価する方法として最も適切なものはどれか。

インターネット向け業務システムのランタイムに、リモートコード実行へ悪用可能な既知の脆弱性が検出された。ウェブ層には通信を制限する既存のセキュリティ制御があり正常に機能している。最も適切なリスク評価はどれか。

同じ重要度の問題が2つのリソースで検出された。リソースAはインターネットから利用可能な本番サービスで業務影響が大きく、リソースBは外部経路のない検証環境で既存の制御も有効である。修復優先度の判断として最も適切なものはどれか。

公開範囲の設定を修正し、外部からの到達経路を閉じる変更を実施した。変更処理は正常終了したが、修復後の状態はまだ確認していない。次に行うべきことはどれか。

2つの修復候補がある。候補Aは高重要度の検出結果を1件解消するが、そのリソースには既存の制御が有効で、現在の悪用経路は強く制限されている。候補Bは中重要度の設定上の問題を修正する。この問題は外部から利用可能な経路と重要データへのアクセス経路に関連しており、現在の制御では十分に低減できていない。修復後の残差リスクを最も大きく低減できる対応を優先する場合、最も適切な判断はどれか。