令和2年度10月 プロジェクトマネージャ 午前Ⅱ 問24

評価の枠組みは目的から整理する

脆弱性を扱う仕組みは数多くあり、名称が似ていても目的が異なります。この問題では、深刻度を評価する枠組みが何のために作られ、何を共通化しようとしているのかという目的の観点一つに絞り、問題の内容と照らし合わせると整理しやすくなります。

この問題で問われていること

学習の観点は「その枠組みの目的と適用範囲」です。誰が、何のために、どの範囲まで共通の尺度で比べられるようにしたいのかを自分の言葉で説明できるかを確かめ、問題の各要素がその目的と整合しているかを一つずつ検討してください。

視点

標準化された枠組みを学ぶときは、名称や略称を覚えるより先に、その枠組みが解決しようとした課題（何がばらばらで困っていたのか）と、共通化の対象を押さえると、関連する仕組みとの混同を防げます。目的が分かれば、個々の要素がなぜ存在するのかも筋道立てて理解できます。

確認ポイント

• その枠組みが作られた背景として、どのような不便さや課題を解決しようとしたのかを説明できるか
• 枠組みが共通化しようとしているものが何であり、何が対象外なのかを区別できているか
• 問題中の各要素が、その目的や適用範囲と矛盾していないかを一つずつ確かめたか

正解

イ

解説

正しいのはイです。CVSSは、脆弱性の深刻度を評価するためのオープンで汎用的な手法であり、特定ベンダに依存しない共通の評価方法を提供する。なお、CVSSのスコアは0.0～10.0で表され、評価基準は基本評価基準、現状評価基準、環境評価基準の三つで構成される。

正答の理由

CVSSは、脆弱性の深刻度を共通の尺度で評価するためのオープンで汎用的な評価手法です。特定のベンダや製品に依存しない評価方法を提供するため、イの記述が適切です。

関連知識

CVSSのスコアは0.0～10.0の数値で表される。また、評価基準は基本評価基準、現状評価基準、環境評価基準の三つで構成される。バージョンや評価基準の違いを正確に区別する必要がある。

選択肢ア

これは不正解だよ。CVSS v2とCVSS v3.0では、脆弱性を評価する指標や算出方法が異なるため、同じ脆弱性を評価しても必ず同じ値になるとは限らない。「算出方法が同じ」とする前半と、「同じ値になる」とする後半の両方が誤りである。

選択肢イ（正解）

これは正解だよ。CVSSは、脆弱性の深刻度を評価するためのオープンで汎用的な手法であり、特定ベンダに依存しない評価方法を提供する。この記述は、CVSSが共通の評価基準として利用される特徴を正しく説明している。

選択肢ウ

これは不正解だよ。CVSSのスコアは脆弱性の深刻度を0から100で表すのではなく、0.0～10.0の数値で表す。したがって、選択肢の数値範囲が公式の尺度と一致しておらず、記述は誤りである。

選択肢エ

これは不正解だよ。CVSSの評価基準は現状評価基準と環境評価基準の二つだけではない。基本評価基準、現状評価基準、環境評価基準の三つで構成されるため、「二つである」と限定している点が誤りである。

学習のポイント

CVSSの目的、スコア尺度、三つの評価基準を正確に整理する。