令和6年度春期 情報処理安全確保支援士 午前Ⅱ 問17

午前II 問17

SBOMは、ソフトウェアの中に入っている部品表みたいなものだよ。どんなコンポーネントやライブラリに依存しているかを一覧にしておくことで、脆弱性が見つかったときに「うちのソフトにも影響あるかな？」と素早く調べられるんだ。

この問題で問われていること

この問題では、SBOMをCVSS、CWE、ガイドライン文書と取り違えないようにしよう。SBOMはソフトウェアの部品リスト、CVSSは脆弱性の深刻度スコア、CWEは脆弱性の種類を整理したもの、ガイドライン文書は対策や進め方をまとめた文書、という違いを押さえるのがポイントだよ。

SBOM

何が入っているかを明らかにする部品表が SBOM です。

components\ndependencies\nversions\n-> SBOM

確認ポイント

• 深刻度評価手法ではありません。
• 脆弱性類型の識別基準でもない。
• コンポーネントと依存関係のリストを選ぶ。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。これはCVSSの説明だね。CVSSは脆弱性の危険度を点数で表す仕組みで、たとえるなら「この壊れた窓は泥棒に入られやすさ何点か」を採点するものだよ。SBOMのように、ソフトウェアの構成部品を一覧にするものではないんだ。

選択肢イ

これは不正解だよ。これはNIST SP800-40のような、パッチ管理や脆弱性対応の進め方をまとめたガイドラインの説明だね。たとえるなら「壊れた鍵をいつ誰が直すかの社内ルールブック」であって、「家にどんな鍵や窓があるかの部品リスト」ではないよ。

選択肢ウ（正解）

これは正解だよ。SBOMは、ソフトウェアを作っている部品表のことなんだ。料理でいうと「このカレーには肉、玉ねぎ、ルー、このメーカーのスパイスが入っています」と書いた材料リストみたいなものだよ。どの部品に脆弱性があるか調べやすくなるんだ。

選択肢エ

これは不正解だよ。説明しているのはCWEのことだね。CWEは「家の防犯でいうと、窓の鍵が弱い、合鍵を作られやすい、みたいな弱点の種類を分類した一覧」だよ。SBOMのように、ソフトウェアに何の部品が入っているかを並べたリストではないんだ。