令和5年度秋期 情報処理安全確保支援士 午前Ⅱ 問12

午前II 問12：SCAPは“セキュリティ情報の共通フォーマット”だよ

SCAPは、脆弱性情報や設定情報をみんなが同じ形式で扱えるようにするための仕様群だよ。たとえるなら、セキュリティ診断で使う“共通のチェックリスト用紙”みたいなもの。形式がそろっているから、脆弱性の管理や評価を自動化しやすくなるんだ。FIPSは米国政府の標準、SIEMはログを集めて分析する仕組み、SOARは対応作業を自動化・効率化する仕組みなので、SCAPとは役割が違うよ。

この問題で問われていること

この問題では、SCAPのような“情報を標準化する仕様”と、SIEMやSOARのような“運用で使う製品・仕組みのカテゴリ”をきちんと区別できるかがポイントだよ。

SCAP

SCAP は脆弱性評価を自動化するために使うセキュリティコンテンツの標準群です。

脆弱性情報標準化\n+ 評価自動化\n= SCAP

確認ポイント

• FIPS は連邦標準群であり用途が違う。
• SIEM や SOAR は運用製品・仕組みの分類です。
• 自動化基準として SCAP を選ぶ。

正解

イ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。FIPSは米国政府向けの情報処理や暗号などに関する標準の集まりなんだ。たとえるなら『この金庫は政府基準を満たしているか』を見るルールに近いよ。今回聞かれているのは、脆弱性を自動で管理・測定・評価する基準なので、FIPSではなくSCAPを選ぼう。

選択肢イ（正解）

これは正解だよ。SCAPは、パソコンやサーバの弱点を同じものさしで見つけて、点数を付けて、管理しやすくするためのNISTの基準なんだ。たとえるなら、家の防犯チェックを『玄関の鍵、窓、合鍵の管理』みたいに共通チェックリストで自動点検する仕組みだよ。問題の『脆弱性管理・測定・評価を自動化』にぴったり合うよ。

選択肢ウ

これは不正解だよ。SIEMは、いろいろな機器のログや警告を集めて、怪しい動きを見つけやすくする仕組みなんだ。たとえるなら、ビル中の防犯カメラ映像や入退室記録を一つの監視室に集める感じだよ。ログ監視・分析が中心で、脆弱性管理を自動化するNISTの基準そのものではないよ。

選択肢エ

これは不正解だよ。SOARは、警報が鳴った後に『担当者へ通知する』『怪しい端末を隔離する』みたいな対応を自動化する仕組みなんだ。たとえるなら、泥棒アラームが鳴った後に警備員へ連絡してシャッターを閉める係だよ。弱点そのものを共通基準で測定・評価するSCAPとは役割が違うよ。