令和6年度春期情報処理安全確保支援士試験午前II 問17

テクノロジセキュリティ技術

この問題は2024(R6)春情報処理安全確保支援士午前IIに出題されたものです。出題時点の法令・制度に基づく内容のため、現行の内容と一致しない場合があります。

本ページの問題文・選択肢は、原本の体裁を Web 表示用に正規化しています（改行・記号・数式・図表参照の調整）。設問の趣旨および正解に影響する変更は加えていません。

ソフトウェアの脆弱性管理のためのツールとしても利用される SBOM (Software Bill of Materials) はどれか。

ア. ソフトウェアの脆弱性に対する, ベンダーに依存しないオープンで汎用的な深刻度の評価方法

イ. ソフトウェアのセキュリティアップデートを行うときに推奨される管理プロセス, 組織体制などをまとめたガイドライン

ウ. ソフトウェアを構成するコンポーネント, 互いの依存関係などのリスト

エ. 米国の非営利団体 MITRE によって策定された, ソフトウェアにおけるセキュリティ上の弱点の種類を識別するための基準

解答・解説を読む

正解: 選択肢ウ

SBOM (Software Bill of Materials) は、ソフトウェアを構成するコンポーネント（部品）や、それらのライセンス情報、互いの依存関係などを一覧化したソフトウェア部品表です。
近年、オープンソースソフトウェア（OSS）の利用拡大に伴い、ソフトウェア内に潜在する脆弱性を迅速に特定・管理するための重要なツールとして注目されています。

各選択肢の解説

ア: 不正解。ソフトウェアの脆弱性に対する、ベンダーに依存しないオープンで汎用的な深刻度の評価方法は CVSS (Common Vulnerability Scoring System) の説明です。
イ: 不正解。ソフトウェアのセキュリティアップデートを行うときに推奨される管理プロセスや組織体制などをまとめたガイドラインは、脆弱性対応やパッチ管理のガイドラインに関する説明であり、SBOMではありません。
ウ: 正解。ソフトウェアを構成するコンポーネント、互いの依存関係などのリストは、まさに SBOM の説明です。
エ: 不正解。米国の非営利団体 MITRE によって策定された、ソフトウェアにおけるセキュリティ上の弱点の種類を識別するための基準は CWE (Common Weakness Enumeration) の説明です。