令和元年度秋期 情報処理安全確保支援士 午前Ⅱ 問9

午前II 問09：CVSSは“脆弱性の危なさメーター”だよ

CVSSは、ソフトウェアやシステムの脆弱性がどれくらい危険かを点数で表すための仕組みだよ。たとえば、ケガの重さを「軽傷・重傷」で判断するように、脆弱性も「基本評価基準」「現状評価基準」「環境評価基準」の3つの視点から見て、深刻度を数値化するんだ。

この問題で問われていること

この問題では、CVSSが“脆弱性の深刻度を評価する指標”だと分かるかがポイントだよ。ISMSのようなマネジメント規格や、個人情報保護に関する制度とは役割が違うので、名前の雰囲気に引っ張られずに区別しよう。

CVSS の 3 基準

脆弱性そのものの性質、現在の悪用状況、導入環境での影響を分けて評価する。

基本評価\n現状評価\n環境評価

確認ポイント

• ISMS は管理の仕組みであり脆弱性スコアではありません。
• PCI DSS もカード情報保護基準です。
• CVSS を選ぶ。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

CVSSが正解だよ。システムの弱点を見つけたときに、『この窓の鍵の壊れ方はどれくらい危ない？今すぐ直すべき？』と点数で危険度を測るものなんだ。基本評価基準、現状評価基準、環境評価基準という三つの見方で脆弱性の深刻度を評価するよ。

選択肢イ

ISMSは、会社全体で情報を守るための管理の仕組みだよ。たとえるなら、建物全体の防犯ルールや見回り体制を作ること。個別の弱点に点数を付けて危険度を評価する仕組みではないので、これは違うよ。

選択肢ウ

PCI DSSは、クレジットカード情報を安全に扱うためのルールだよ。たとえるなら、カード情報を扱うお店専用の防犯マニュアル。脆弱性そのものの深刻度を三つの基準で評価する仕組みではないから、今回の答えではないよ。

選択肢エ

PMSは、個人情報をきちんと守るための会社の仕組みのことだよ。たとえるなら、お客さんの住所録を金庫で管理するルール作り。今回聞かれているのは、システムの弱点がどれくらい危ないかを点数で見る仕組みなので、PMSではないよ。