平成29年度秋期 情報処理安全確保支援士 午前Ⅱ 問13

CVSSは脆弱性の“危なさ”を点数で見るものだよ

CVSSは、ソフトウェアの脆弱性がどれくらい危ないかを評価するための共通のものさしだよ。たとえば病気の症状を「重い・軽い」で判断するように、CVSSでは基本評価基準、現状評価基準、環境評価基準の3つの視点から深刻度を見ていくんだ。

この問題で問われていること

この問題では、ISMSやPCI DSS、PMSのような管理の仕組みやルールと混同せずに、「脆弱性そのものの深刻度を評価する指標」はCVSSだと選べるかがポイントだよ。

CVSS の 3 基準

脆弱性そのものの性質だけでなく、現時点の状況や利用環境も踏まえて評価する。

基本評価\n現状評価\n環境評価

確認ポイント

• ISMS はマネジメントシステム規格です。
• PCI DSS はカード情報保護基準です。
• CVSS を選ぶ。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

CVSSが正解だよ。CVSSは、システムの弱点がどれくらい危ないかを共通のものさしで測る仕組みなんだ。たとえるなら、壊れた窓について「割れやすさ」「今すぐ泥棒に狙われそうか」「その家ではどれくらい困るか」を見て危険度を点数化する感じだよ。基本評価基準・現状評価基準・環境評価基準の3つで評価するので、この問題にぴったりだよ。

選択肢イ

ISMSは不正解だよ。これは会社全体で情報を守るための管理の仕組みなんだ。たとえるなら、会社の戸締まり当番表や入退室ルールを整えるようなもの。脆弱性一つ一つの深刻度を、基本・現状・環境の3基準で評価する仕組みではないよ。

選択肢ウ

PCI DSSは不正解だよ。これはクレジットカード情報を安全に扱うためのルール集なんだ。たとえるなら、カード払いのお店向けの「金庫の置き方・鍵の管理ルール」。今回聞かれているのは、脆弱性の危険度を点数で見る仕組みなので、目的が違うよ。

選択肢エ

PMSは不正解だよ。これは個人情報を適切に扱うための管理の仕組みで、プライバシーマーク制度などと関係があるんだ。たとえるなら、お客さんの住所や電話番号を勝手に見せない・なくさないための受付ルール。脆弱性の危険度を3つの評価基準で点数化するものではないよ。