令和6年度 春期 情報処理安全確保支援士 午前II 問17

各選択肢の解説

ア

ソフトウェアの脆弱性に対する、ベンダーに依存しないオープンで汎用的な深刻度の評価方法

誤りです。これはCVSS（Common Vulnerability Scoring System）の説明です。CVSSはFIRSTが管理する方法で、攻撃元区分や影響度などから脆弱性の深刻度を0.0〜10.0の数値で評価します。SBOMは深刻度を評価する方法ではなく、ソフトウェアの構成要素を一覧にしたものです。

イ

ソフトウェアのセキュリティアップデートを行うときに推奨される管理プロセス,組織体制などをまとめたガイドライン

誤りです。セキュリティアップデートの管理プロセスや組織体制をまとめた文書は、パッチ管理のガイドラインにあたります。例としてNIST SP 800-40があります。SBOMはこうした運用上の手順書ではなく、ソフトウェアに含まれる部品を記録したデータです。

ウ

ソフトウェアを構成するコンポーネント,互いの依存関係などのリスト

正しいです。SBOMはソフトウェアの部品表です。ソフトウェアを構成するOSSなどのコンポーネントについて、名称、バージョン、ライセンス、依存関係を記載します。形式にはSPDXやCycloneDXがあります。新しい脆弱性が公表されたときに、影響を受けるコンポーネントを含む製品をすぐに特定できるため、脆弱性管理にも役立ちます。

エ

米国の非営利団体 MITRE によって策定された、ソフトウェアにおけるセキュリティ上の弱点の種類を識別するための基準

誤りです。これはCWE（Common Weakness Enumeration）の説明です。CWEはMITREが策定したもので、SQLインジェクションを表すCWE-89のように、脆弱性の原因となる弱点の種類を識別子で分類します。SBOMは弱点を分類する基準ではなく、個々の製品がどのコンポーネントで構成されているかを示すリストです。