CompTIA Security+（SY0-701） 無料問題 1 / 10 ・ 分野1: 一般的なセキュリティの概念
ゼロトラスト環境で、承認済みだったセッションを取り消す判断が出た。NIST SP 800-207 の論理コンポーネントの役割に沿って、取り消しを決める要素と、その判断を実行して PEP に接続の終了を伝える要素の組はどれか。
- ポリシーアドミニストレータ（PA）が決定し、ポリシーエンジン（PE）が PEP に接続の終了を指示する
- 継続的診断と緩和（CDM）システムが決定し、PA が PEP に接続の終了を指示する
- ポリシーエンジン（PE）が決定し、その決定を受けた PA が PEP に接続の終了を指示する
- PE が決定し、PEP が自ら判断して接続を終了する。PA は設定の保管を担う
正解と解説を見る
正解: C
正解の理由
「ポリシーエンジン（PE）が決定し、その決定を受けた PA が PEP に接続の終了を指示する」800-207 では、PE が企業ポリシーと外部の情報を信頼性アルゴリズムに入力して、許可・拒否・取り消しを決め、その決定を記録する。PA は PE の決定を実行し、取り消しの場合は PEP に接続を遮断するよう指示する。
違う選択肢
「ポリシーアドミニストレータ（PA）が決定し、ポリシーエンジン（PE）が PEP に接続の終了を指示する」…取り消しの判断を下すのは PE で、PA はその決定を実行する側。判断と実行の役割が逆になっている。
「継続的診断と緩和（CDM）システムが決定し、PA が PEP に接続の終了を指示する」…CDM システムは資産の現在の状態を集めて PE に情報を渡す側で、取り消しの決定を下さない。
「PE が決定し、PEP が自ら判断して接続を終了する。PA は設定の保管を担う」…PEP は接続を有効にし、監視し、終了させる実施点で、判断はしない。PEP への指示は PA が行う。
押さえどころ
PE が判断、PA が実行、PEP が現場の実施という分担で覚える。実装によっては PE と PA を1つのサービスとして扱うことがあるが、論理上は別の役割として説明される。PA は、セッション固有の認証トークンや資格情報の生成も担う。