[Sep 29, 2024] Vollständig aktualisierte Musterfragen zur ISC-Zertifizierung (CSSLP) [Q18-Q33]

29. September 2024 examdumps 0 Kommentar

Schlagwörter: CSSLP kostenlose Prüfung, CSSLP-Wissenspunkte, CSSLP neueste visuelle Zertifizierungsprüfung, CSSLP zuverlässige Prüfung Simulator Gebühr, CSSLP zuverlässiges Testcamp kostenlos, CSSLP Studie Dumps, neuer CSSLP Praxistest online

Diesen Beitrag bewerten

[Sep 29, 2024] Vollständig aktualisierte ISC-Zertifizierung (CSSLP) Zertifizierungsbeispielfragen

Neueste ISC CSSLP Real Exam Dumps PDF

Wer sollte die Prüfung ablegen?

Wenn Sie die folgenden Voraussetzungen und erforderlichen Fähigkeiten besitzen, sollten Sie diese Prüfung ablegen, um das Zertifikat Certified Secure Software Lifecycle Professional (CSSLP) zu erhalten.

3 Jahre kumulative, bezahlte Vollzeit-SDLC-Berufserfahrung in einer oder mehreren der 8 Domänen des CSSLP CBK
4-Jahres-Abschluss in Informatik, Informationstechnologie (IT) oder einem verwandten Fachgebiet, der zum Abitur führt, oder ein gleichwertiger regionaler Abschluss.
Mindestens 4 Jahre kumulative bezahlte Vollzeit-Berufserfahrung im Bereich Software Development Lifecycle (SDLC) in einem oder mehreren der 8 Bereiche des (ISC)2 CSSLP CBK

FRAGE 18
Welche der folgenden Codierungspraktiken sind bei der Vereinfachung von Code hilfreich? Jede richtige Antwort stellt eine vollständige Lösung dar. Wählen Sie alle zutreffenden Antworten.

Programmierer sollten mehrere kleine und einfache Funktionen verwenden, anstatt eine einzige komplexe Funktion.

Software sollte Zweideutigkeiten und versteckte Annahmen, Rekursionen und GoTo-Anweisungen vermeiden.

Programmierer sollten Funktionen mit hoher Tragweite in möglichst wenigen Codezeilen implementieren und angemessene Codierungsstandards einhalten.

Prozesse sollten mehrere Eingangs- und Ausgangspunkte haben.

FRAGE 19
In welcher der folgenden Phasen des DITSCAP-Prozesses findet die Sicherheitsprüfung und -evaluierung (ST&E) statt?

Phase 2

Phase 4

Phase 3

Phase 1

FRAGE 20
Das Data and Analysis Center for Software (DACS) legt drei allgemeine Grundsätze für die Software-Sicherheit fest, die als Rahmen dienen, um verschiedene sichere Entwurfsprinzipien zu kategorisieren. Welche der folgenden Prinzipien und Praktiken umfasst das allgemeine Prinzip 1? Jede richtige Antwort stellt eine vollständige Lösung dar. Wählen Sie zwei.

Grundsatz der Trennung von Privilegien, Pflichten und Rollen

Annahme, dass die Umweltdaten nicht vertrauenswürdig sind

Vereinfachen Sie das Design

Grundsatz des geringsten Rechtsanspruchs

FRAGE 21
Welcher der folgenden Punkte ist ein Beispiel für einen Penetrationstest?

Implementierung von NIDS in einem Netzwerk

Implementierung von HIDS auf einem Computer

Simulieren eines tatsächlichen Angriffs auf ein Netzwerk

Konfigurieren der Firewall zum Blockieren von nicht autorisiertem Datenverkehr

FRAGE 22
Welches ist die Zeitspanne und das Serviceniveau, innerhalb derer ein Geschäftsprozess nach einer Katastrophe wiederhergestellt werden muss, um unannehmbare Folgen einer Unterbrechung der Geschäftskontinuität zu vermeiden?

RTO

RTA

RPO

RCO

Das Wiederherstellungszeitziel (Recovery Time Objective, RTO) ist die Zeitspanne und das Serviceniveau, innerhalb derer ein Geschäftsprozess nach einer Katastrophe oder Störung wiederhergestellt werden muss, um unannehmbare Folgen einer Unterbrechung der Geschäftskontinuität zu vermeiden. Sie umfasst die Zeit für den Versuch, das Problem ohne eine Wiederherstellung zu beheben, die Wiederherstellung selbst, Tests und die Kommunikation mit den Benutzern. Die Entscheidungszeit für den Benutzervertreter ist nicht enthalten. Der Zeitplan für die Geschäftskontinuität verläuft in der Regel parallel zu einem Zeitplan für das Störungsmanagement und kann an denselben oder an unterschiedlichen Punkten beginnen. In der anerkannten Business-Continuity-Planungsmethodik werden die RTOs während der Business-Impact-Analyse (BIA) vom Eigentümer eines Prozesses (in der Regel in Zusammenarbeit mit dem Business-Continuity-Planer) festgelegt. Die RTOs werden dann der Geschäftsleitung zur Annahme vorgelegt. Die RTO bezieht sich auf den Geschäftsprozess und nicht auf die zur Unterstützung des Prozesses erforderlichen Ressourcen. Antwort B ist falsch. Die tatsächliche Wiederherstellungszeit (Recovery Time Actual, RTA) wird während einer Übung, eines tatsächlichen Ereignisses oder im Voraus auf der Grundlage der vom Technologie-Support-Team entwickelten Wiederherstellungsmethodik festgelegt. Dies ist der Zeitrahmen, den der Technologie-Support benötigt, um die wiederhergestellte Infrastruktur an das Unternehmen zu liefern. Antwort D ist falsch. Das Recovery Consistency Objective (RCO) wird in der Business Continuity-Planung zusätzlich zum Recovery Point Objective (RPO) und Recovery Time Objective (RTO) verwendet. Es wendet Datenkonsistenzziele auf Continuous Data Protection-Services an. Antwort C ist falsch. Das Wiederherstellungspunktziel (Recovery Point Objective, RPO) beschreibt das akzeptable Ausmaß des Datenverlusts, gemessen in Zeit. Es ist der Zeitpunkt, bis zu dem die Daten wiederhergestellt werden müssen, wie von der Organisation definiert. Das RPO ist im Allgemeinen eine Definition dessen, was ein Unternehmen in einer Katastrophensituation als "akzeptablen Verlust" ansieht. Wenn der RPO eines Unternehmens 2 Stunden beträgt und die Zeit, die benötigt wird, um die Daten wieder in Produktion zu bringen, 5 Stunden beträgt, beträgt der RPO immer noch 2 Stunden. Auf der Grundlage dieses RPO müssen die Daten innerhalb von 2 Stunden nach der Katastrophe wiederhergestellt werden.

FRAGE 23
Welches ist eine Formel, ein Verfahren, ein Prozess, ein Entwurf, ein Instrument, ein Muster oder eine Zusammenstellung von Informationen, die nicht allgemein bekannt sind, durch die aber ein Unternehmen einen wirtschaftlichen Vorteil gegenüber seinen Wettbewerbern erlangen kann?

Urheberrecht

Gebrauchsmuster

Geschäftsgeheimnis

Keks

Erläuterung:
Ein Geschäftsgeheimnis ist eine Formel, ein Verfahren, ein Prozess, ein Design, ein Instrument, ein Muster oder eine Zusammenstellung von Informationen, die nicht allgemein bekannt sind. Es hilft einem Unternehmen, einen wirtschaftlichen Vorteil gegenüber seinen Konkurrenten oder Kunden zu erlangen. In einigen Rechtsordnungen werden solche Geheimnisse als vertrauliche Informationen oder Verschlusssachen bezeichnet.

FRAGE 24
Sie arbeiten als Sicherheitsbeauftragter bei Tech Perfect Inc. Sie möchten alle Daten vor einem SQL-Injection-Angriff schützen, der sensible Daten aus der Datenbank auslesen und Datenbankdaten mit einigen Befehlen wie Einfügen, Aktualisieren und Löschen ändern kann. Welche der folgenden Aufgaben werden Sie durchführen? Jede richtige Antwort stellt eine vollständige Lösung dar. Wählen Sie drei aus.

Wenden Sie die maximale Anzahl von Datenbankberechtigungen an.

Verwenden Sie eine gekapselte Bibliothek für den Zugriff auf Datenbanken.

Erstellen Sie parametrisierte gespeicherte Prozeduren.

Erstellen Sie parametrisierte Abfragen unter Verwendung von gebundenen und typisierten Parametern.

FRAGE 25
Welche der folgenden SDLC-Phasen besteht aus den angegebenen Sicherheitskontrollen: Modellierung von Missbrauchsfällen, Sicherheitsdesign und Architekturüberprüfung, Bedrohungs- und Risikomodellierung, Erstellung von Sicherheitsanforderungen und Testfällen?

Einsatz

Sammlung von Anforderungen

Wartung

Gestaltung

FRAGE 26
Harry ist der Projektleiter des Bauprojekts MMQ. Im Rahmen dieses Projekts hat Harry einen Lieferanten ausfindig gemacht, der Glasfenster für 1.000 Fenstereinheiten des Bauprojekts herstellen kann. Bei dem Lieferanten handelt es sich um einen Künstler, der selbständig arbeitet, aber Fenster für mehrere Unternehmen in den Vereinigten Staaten herstellt. Die Geschäftsleitung prüft den Vorschlag, diesen Lieferanten zu beauftragen, und ist zwar der Meinung, dass der Lieferant talentiert ist, glaubt aber nicht, dass der Künstler die 1.000 Fenstereinheiten rechtzeitig vor Ablauf der Projektfrist herstellen kann. Die Geschäftsleitung hat Harry gebeten, einen Lieferanten zu finden, der die Fenster bis zu dem im Zeitplan vorgesehenen Termin fertigstellen kann. Welche Risikomaßnahmen hat die Geschäftsleitung Harry aufgetragen zu ergreifen?

Übertragung

Vermeidung

Milderung

Akzeptanz

Erläuterung/Referenz:
Erläuterung: Dies ist ein Beispiel für Schadensbegrenzung. Indem er zu einem zuverlässigeren Lieferanten wechselt, verringert Harry die Wahrscheinlichkeit, dass der Lieferant zu spät kommt. Es ist zwar immer noch möglich, dass der Lieferant nicht in der Lage ist, die Glasfenster zu liefern, aber der seriösere Lieferant verringert die Wahrscheinlichkeit der Verspätung. Bei der Risikominderung handelt es sich um eine Technik der Risikoreaktionsplanung im Zusammenhang mit Bedrohungen, die darauf abzielt, die Wahrscheinlichkeit des Auftretens oder die Auswirkungen eines Risikos unter einen akzeptablen Schwellenwert zu senken. Risikominderung bedeutet, dass frühzeitig Maßnahmen ergriffen werden, um die Wahrscheinlichkeit und die Auswirkungen eines Risikos auf das Projekt zu verringern. Beispiele für Maßnahmen zur Risikominderung sind die Einführung weniger komplexer Prozesse, die Durchführung weiterer Tests oder die Wahl eines stabileren Lieferanten.
AntwortA ist falsch. Von einer Übertragung spricht man, wenn das Risiko auf einen Dritten übertragen wird, in der Regel gegen eine Gebühr. Während
Diese Frage beinhaltet eine vertragliche Beziehung, das Risiko ist die Verspätung der Fenster. Bei der Übertragung geht es darum, dass das Risiko auf einen Dritten übertragen wird, der das Risikoereignis verwaltet. In diesem Fall liegt die Verwaltung des Risikos bei einem Dritten; der Dritte schafft das Risikoereignis aufgrund der Möglichkeit der Verspätung der Fenster tatsächlich. AntwortB ist falsch. Bei der Vermeidung wird der Projektplan geändert, um das Risiko zu vermeiden. Wenn der Projektleiter und das Management den Fenstertyp in den Projektanforderungen in ein Standardfenster ändern, wäre dies eine Vermeidung. Risikovermeidung ist eine Technik, die bei Bedrohungen eingesetzt wird. Dabei werden Änderungen am Projektmanagementplan vorgenommen, um das Risiko entweder vollständig zu beseitigen oder die Projektziele vor seinen Auswirkungen zu schützen. Bei der Risikovermeidung wird das Risikoereignis entweder durch zusätzliche Schritte zur Vermeidung des Ereignisses oder durch eine Verringerung der Anforderungen an den Projektumfang vollständig beseitigt. Es mag die Antwort auf alle möglichen Risiken sein, aber die Vermeidung von Risiken bedeutet auch, dass man auf die potenziellen Gewinne verzichtet, die man durch das Akzeptieren (Beibehalten) des Risikos hätte erzielen können. AntwortD ist falsch. Die Akzeptanz akzeptiert das Risiko, dass sich die Fenster verspäten könnten, und bietet keine Antwort darauf.

FRAGE 27
Die Organisationsebene ist die Stufe 1 und befasst sich mit Risiken aus der Sicht der Organisation. Was sind die verschiedenen Aktivitäten der Ebene 1? Jede richtige Antwort stellt eine vollständige Lösung dar. Wählen Sie alle zutreffenden Antworten aus.

Die Organisation plant, den Grad und die Art der Aufsicht zu nutzen, um sicherzustellen, dass die Risikomanagementstrategie wirksam umgesetzt wird.

Das Niveau der Risikotoleranz.

Die Techniken und Methoden, die eine Organisation zur Bewertung von Sicherheitsrisiken im Zusammenhang mit Informationssystemen einsetzen will.

Der RMF arbeitet hauptsächlich auf Stufe 1.

FRAGE 28
Welche der folgenden Dokumente wurden vom NIST für die Durchführung von Zertifizierung und Akkreditierung (C&A) entwickelt? Jede richtige Antwort stellt eine vollständige Lösung dar. Wählen Sie alle zutreffenden aus.

NIST-Sonderveröffentlichung 800-60

NIST-Sonderveröffentlichung 800-53

NIST-Sonderveröffentlichung 800-37A

NIST-Sonderveröffentlichung 800-59

NIST-Sonderveröffentlichung 800-37

NIST-Sonderveröffentlichung 800-53A

FRAGE 29
Die Phase 4 von DITSCAP C&A wird als Post-Akkreditierung bezeichnet. Diese Phase beginnt, nachdem das System in Phase 3 akkreditiert worden ist. Was sind die Prozessaktivitäten in dieser Phase? Jede richtige Antwort stellt eine vollständige Lösung dar. Wählen Sie alle zutreffenden Antworten aus.

Sicherheitsmaßnahmen

Wartung des SSAA

Validierung der Einhaltung der Vorschriften

Management von Veränderungen

Betrieb des Systems

Weitere Überprüfung und Verfeinerung des SSAA

FRAGE 30
Welche der folgenden Arten von Aktivitäten können auf Sicherheit geprüft werden? Jede richtige Antwort stellt eine vollständige Lösung dar. Wählen Sie drei aus.

Zugriff auf Dateien und Objekte

Herunterladen von Daten aus dem Internet

Zugang zum Drucker

An- und Abmeldungen am Netzwerk

FRAGE 31
Sicherheit ist ein Zustand des Wohlbefindens von Informationen und Infrastrukturen, in dem die Möglichkeiten eines erfolgreichen, aber unentdeckten Diebstahls, einer Manipulation und/oder einer Störung von Informationen und Diensten gering oder tolerierbar gehalten werden. Welche der folgenden Elemente gehören zur Sicherheit? Jede richtige Antwort stellt eine vollständige Lösung dar. Wählen Sie alle zutreffenden aus.

Integrität

Authentizität

Vertraulichkeit

Verfügbarkeit

FRAGE 32
Welche der folgenden Zugangskontrollmodelle werden im gewerblichen Bereich eingesetzt? Jede richtige Antwort stellt eine vollständige Lösung dar. Wählen Sie zwei.

Biba-Modell

Clark-Biba-Modell

Clark-Wilson-Modell

Bell-LaPadula-Modell

FRAGE 33
Mit welchem der folgenden Gesetze wird die Bedeutung der Informationssicherheit für die wirtschaftlichen und nationalen Sicherheitsinteressen der Vereinigten Staaten anerkannt?

Gesetz über Computermissbrauch

Lanham-Gesetz

Gesetz über Computerbetrug und -missbrauch

FISMA

Der Federal Information Security Management Act of 2002 ist ein Bundesgesetz der Vereinigten Staaten, das 2002 als Titel III des E-Government Act of 2002 erlassen wurde. Das Gesetz erkennt die Bedeutung der Informationssicherheit für die wirtschaftlichen und nationalen Sicherheitsinteressen der Vereinigten Staaten an. Das Gesetz verpflichtet jede Bundesbehörde, ein behördenweites Programm zu entwickeln, zu dokumentieren und umzusetzen, um die Informationssicherheit für die Informationen und Informationssysteme zu gewährleisten, die den Betrieb und die Vermögenswerte der Behörde unterstützen, einschließlich derjenigen, die von einer anderen Behörde, einem Auftragnehmer oder einer anderen Quelle bereitgestellt oder verwaltet werden. FISMA hat die Aufmerksamkeit innerhalb der Bundesregierung auf die Cybersicherheit gelenkt und ausdrücklich eine "risikobasierte Politik für kosteneffektive Sicherheit" betont. FISMA verlangt von den Programmverantwortlichen der Behörden, den Chief Information Officers und den Inspectors Generals (IGs) eine jährliche Überprüfung des Informationssicherheitsprogramms der Behörde und die Übermittlung der Ergebnisse an das Office of Management and Budget (OMB). Das OMB verwendet diese Daten, um seine Aufsichtspflichten zu erfüllen und den jährlichen Bericht an den Kongress über die Einhaltung des Gesetzes durch die Behörden zu erstellen. Antwort B ist falsch. Der Lanham Act ist ein Gesetz, das die Bundesgesetze zum Markenrecht in den Vereinigten Staaten enthält. Das Gesetz verbietet eine Reihe von Aktivitäten, darunter Markenrechtsverletzungen, Markenverwässerung und falsche Werbung. Es wird auch Lanham Trademark Act genannt. Antwort A ist falsch. Der Computer Misuse Act 1990 ist ein Gesetz des britischen Parlaments, das die folgende Aussage enthält: Der unbefugte Zugriff auf Computermaterial wird mit einer Freiheitsstrafe von 6 Monaten oder einer Geldstrafe "nicht höher als Stufe 5 auf der Standardskala" (derzeit 5000) bestraft. Unbefugter Zugang mit der Absicht, weitere Straftaten zu begehen oder deren Begehung zu erleichtern, wird mit einer Freiheitsstrafe von 6 Monaten bzw. einer Geldstrafe von bis zu 5 Jahren bestraft, wenn der Täter auf frischer Tat ertappt wird. Die unbefugte Veränderung von Computermaterialien wird mit denselben Strafen geahndet wie die Straftaten nach Abschnitt 2. Antwort C ist falsch. Der Computer Fraud and Abuse Act (Gesetz über Computerbetrug und -missbrauch) ist ein 1984 vom Kongress der Vereinigten Staaten verabschiedetes Gesetz, das das Knacken von Computersystemen eindämmen und computerbezogene Straftaten auf Bundesebene bekämpfen soll. Das Gesetz über Computerbetrug und -missbrauch (kodifiziert als 18 U.S.C. 1030) regelt Fälle, in denen ein zwingendes Bundesinteresse besteht, in denen Computer der Bundesregierung oder bestimmter Finanzinstitute beteiligt sind, in denen das Verbrechen selbst zwischenstaatlicher Natur ist oder in denen Computer im zwischenstaatlichen und ausländischen Handel eingesetzt werden. Es wurde 1986, 1994, 1996, 2001 durch den USA PATRIOT Act und 2008 durch den Identity Theft Enforcement and Restitution Act geändert. Nach Abschnitt (b) des Gesetzes wird nicht nur bestraft, wer eine Straftat im Rahmen des Computer Fraud and Abuse Act begeht oder zu begehen versucht, sondern auch, wer sich zu einer solchen Tat verschwört.