平成26年度秋期 情報処理安全確保支援士 午前Ⅱ 問7

午前II 問07

CVSSは、IT製品の脆弱性がどれくらい危ないかを点数で見える化するためのものだよ。たとえるなら、けがの重さを「軽傷・重傷」だけでなく、原因や今の状況、使っている環境まで見て判断するようなイメージ。基本評価基準、現状評価基準、環境評価基準の3つの観点で深刻度を評価するんだ。

この問題で問われていること

この問題では、ISMS、PCI DSS、PMSのような管理やルールの仕組みと区別して、「脆弱性の危険度を評価する指標」はどれかを選べるかがポイントだよ。脆弱性の点数付けならCVSS、と覚えておこう。

CVSS の 3 基準

脆弱性そのものの特性、現在の攻撃状況、利用環境を分けて点数化することで、より実態に近い深刻度を把握できる。

基本評価\n現状評価\n環境評価

確認ポイント

• ISMS はマネジメントシステム規格です。
• PCI DSS はカード情報保護基準です。
• CVSS を選ぶ。

正解

ア

解説

IPA 公式公開の過去問です。

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

この選択肢は間違いの選択肢だよ。

選択肢イ

この選択肢は間違いの選択肢だよ。

選択肢ウ

この選択肢は間違いの選択肢だよ。

選択肢エ

この選択肢は間違いの選択肢だよ。

学習のポイント

解答例や採点講評と合わせて根拠を確認してください。