平成30年度春期 情報処理安全確保支援士 午前Ⅱ 問1

午前II 問01

基本評価基準は、その脆弱性がもともと持っている危なさを見るものだよ。例えば「鍵が壊れたドア」そのものを見て、外から開けられるのか、特別な権限が必要なのか、情報が漏れるのか、改ざんされるのか、使えなくなるのかを確認するイメージ。今どれくらい悪用されているかや、自分の会社の環境では影響が大きいか、といった事情はここには含めないよ。

この問題で問われていること

CVSSの基本・現状・環境の3つを混ぜないことがポイントだよ。基本評価基準は「脆弱性そのものの性質」、現状評価基準は「今の攻撃状況や対策状況」、環境評価基準は「自分たちの環境での影響」を見る、と整理して答えよう。

CVSS Base Metrics

CVSS v3 base metrics describe the intrinsic technical characteristics of the vulnerability itself

intrinsic vulnerability characteristics\nimpact on C/I/A\nattack vector and privileges\nnot time-dependent or environment-dependent

確認ポイント

• 時点依存要素を含めない。
• 脆弱性そのものの特性と見る。
• 環境補正とは分ける。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これが正解だよ。基本評価基準は、脆弱性そのものの性質を見るものなんだ。たとえば「窓の鍵が外から簡単に開けられるか」「合鍵なしで入れるか」「入られたら金庫まで見られるか」を見る感じ。利用者ごとの対策や今パッチがあるかではなく、弱点そのものを評価しているよ。

選択肢イ

これは不正解だよ。攻撃コードが出回っているか、パッチがあるか、情報が確かか、という“今の状況”を見る説明なんだ。家でいうと「この窓の鍵は弱い」ではなく、「今、泥棒道具が出回っているか、修理業者が来ているか」を見ている感じ。これは基本評価基準ではなく、現状評価基準だよ。

選択肢ウ

これは不正解だよ。機会・正当化・動機は、内部不正が起きる理由を考える“不正のトライアングル”の考え方なんだ。泥棒が「チャンスがある、理由づけできる、やる動機がある」と考える話で、CVSS v3の基本評価基準ではないよ。

選択肢エ

これは不正解だよ。利用者のシステムや対策状況を踏まえて見直すので、“その家では実際どれくらい危ないか”を考える説明なんだ。同じ弱い窓でも、防犯フィルムや警備がある家では危険度が変わるよね。これは環境評価基準の説明だよ。