令和6年度 春期 情報処理安全確保支援士試験 午前II 問17
ソフトウェアの脆弱性管理のためのツールとしても利用される SBOM (Software Bill of Materials) はどれか。
解答・解説
正解: ウ. ソフトウェアを構成するコンポーネント, 互いの依存関係などのリスト
SBOM (Software Bill of Materials) は、ソフトウェアを構成するコンポーネント（部品）や、それらのライセンス情報、互いの依存関係などを一覧化したソフトウェア部品表です。
近年、オープンソースソフトウェア（OSS）の利用拡大に伴い、ソフトウェア内に潜在する脆弱性を迅速に特定・管理するための重要なツールとして注目されています。
各選択肢の解説
- ア: 不正解。ソフトウェアの脆弱性に対する、ベンダーに依存しないオープンで汎用的な深刻度の評価方法は CVSS (Common Vulnerability Scoring System) の説明です。
- イ: 不正解。ソフトウェアのセキュリティアップデートを行うときに推奨される管理プロセスや組織体制などをまとめたガイドラインは、脆弱性対応やパッチ管理のガイドラインに関する説明であり、SBOMではありません。
- ウ: 正解。ソフトウェアを構成するコンポーネント、互いの依存関係などのリストは、まさに SBOM の説明です。
- エ: 不正解。米国の非営利団体 MITRE によって策定された、ソフトウェアにおけるセキュリティ上の弱点の種類を識別するための基準は CWE (Common Weakness Enumeration) の説明です。