令和3年度 秋期 応用情報技術者試験 午前 問題 問41
テクノロジセキュリティ管理セキュリティ技術セキュリティ関連機関・評価認証制度脆弱性管理・セキュリティ監視
基本評価基準，現状評価基準，環境評価基準の三つの基準で情報システムの脆弱性の深刻度を評価するものはどれか。
解答・解説
正解: ア. CVSS
CVSS (Common Vulnerability Scoring System：共通脆弱性評価システム) は、情報システムの脆弱性に対する深刻度を同一の基準の下で定量的に評価するための仕組みです。
CVSSでは、脆弱性の深刻度を以下の3つの基準で評価します。
- 基本評価基準 (Base Metrics): 脆弱性そのものの特性を評価する基準。時間が経過したり利用環境が異なったりしても変化しません。
- 現状評価基準 (Temporal Metrics): 脆弱性の現在の深刻度を評価する基準。攻撃コードの出現や対策情報の提供など、時間の経過に伴って変化します。
- 環境評価基準 (Environmental Metrics): ユーザーの利用環境を含めた最終的な深刻度を評価する基準。ユーザーごとのセキュリティ要求度やシステム構成によって変化します。
したがって、これら三つの基準で脆弱性の深刻度を評価するものは CVSS となります。
各選択肢の解説
- ア: 正解です。上記の通り、基本評価基準、現状評価基準、環境評価基準の3つの基準を用いて脆弱性の深刻度を評価します。
- イ: 誤りです。ISMS (Information Security Management System：情報セキュリティマネジメントシステム) は、組織の機密情報や個人情報などの情報資産を保護し、情報セキュリティを管理・運用するための仕組みです。
- ウ: 誤りです。PCI DSS (Payment Card Industry Data Security Standard) は、クレジットカードの会員情報や取引情報を安全に守るために、国際カードブランド5社が共同で策定したクレジットカード業界のセキュリティ基準です。
- エ: 誤りです。PMS (Personal information protection Management Systems：個人情報保護マネジメントシステム) は、事業者が個人情報を適切に保護・管理するための仕組みです。プライバシーマーク制度のベースとなっています。