令和7年度春期 ITストラテジスト 午前Ⅰ 問13

適用対象を見分ける基本視点

情報セキュリティ対策を検討するときは、対策そのものの名称や印象ではなく、誰・何を守るために、どの範囲へ適用するものかという観点で整理しましょう。対象の境界を意識すると、説明の違いを落ち着いて比較できます。

この問題で問われていること

選択肢を比べる際は、対象となる資産や利用環境の範囲に注目し、同じ対策でも適用先の違いが説明の中心になっているかを確認してください。名称の知識だけで判断せず、対象の境界に絞って読み取りましょう。

視点

対策を分類するときは、保護対象、利用者や管理者、運用される環境などの関係を切り分け、どの範囲に作用する説明なのかを整理します。

確認ポイント

• 保護しようとしている対象の範囲が何かを確認する
• 利用者・管理者・システムのどこに関係する説明かを見る
• 適用される環境や運用上の境界が示されているか確認する

正解

イ

解説

SBOMはソフトウェアを構成する部品や依存関係を可視化する仕組みであり、構成部品に潜む脆弱性の把握や対応状況の管理に活用できる。したがって、該当するのはイです。

理由

SBOM管理ツールは、ソフトウェアに含まれるライブラリなどの構成部品を把握し、既知の脆弱性情報と照合する用途に利用できる。これにより、影響を受けるソフトウェアの特定や対応状況の管理が行える。

比較

アは利用者アカウントの管理、ウはソースコードの版管理やアクセス制御、エはソースコードのバックアップやマルウェア対策に関する。これらはSBOMが示す構成部品の情報を直接管理する業務ではありません。

選択肢ア

これは不正解だよ。利用者認証に用いるアカウントの一元管理は、利用者や権限、認証情報を管理するIAMなどの領域である。SBOMはソフトウェアを構成する部品や依存関係を扱うため、アカウント管理を行うための情報は提供しない。

選択肢イ（正解）

これは正解だよ。SBOMはソフトウェアに含まれるライブラリなどの構成部品と依存関係を把握するための情報である。構成部品の情報を脆弱性情報と照合すれば、脆弱な部品を含むソフトウェアの特定や対応状況の管理に活用できる。

選択肢ウ

これは不正解だよ。ソースコードのバージョン管理、アクセス制御及び改ざん防止は、リポジトリや開発環境でソースコードそのものを保護する対策である。SBOMはソースコードの変更履歴や権限を管理する仕組みではない。

選択肢エ

これは不正解だよ。ソースコードのバックアップは可用性の確保、マルウェア混入防止は開発環境やファイルの安全確保に関する対策である。SBOMが提供する構成部品の一覧情報だけでは、バックアップや混入防止を直接実施できない。

学習のポイント

SBOMの目的と、脆弱性管理への活用方法を理解する。