情報システムの脆弱性の深刻度を評価するもの｜情報処理安全確保支援士平成29年秋期午前Ⅱ試験問13

出典：平成29年秋期午前Ⅱ 問13 分野：セキュリティ／セキュリティ技術評価

基本評価基準，現状評価基準，環境評価基準の三つの基準で情報システムの脆弱性の深刻度を評価するものはどれか。

解説

CVSSは、脆弱性の危険度を共通の基準で点数化する仕組みです。

脆弱性は、製品やベンダーによって表現がばらつくと、「どれを先に対応すべきか」が判断しにくくなります。そこでCVSSでは、脆弱性の深刻度を0～10.0のスコアで表し、対応の優先順位を決めやすくします。

基本評価基準は、脆弱性そのものの性質を評価する基準です。たとえば、攻撃のしやすさ、必要な権限、機密性・完全性・可用性への影響などを見ます。

現状評価基準は、その脆弱性が今どれくらい危険な状態にあるかを評価する基準です。たとえば、攻撃コードが出回っているか、修正パッチがあるか、回避策があるかなどによって変わります。

環境評価基準は、利用者の環境に合わせて深刻度を調整する基準です。同じ脆弱性でも、重要な業務システムで使っている場合と、影響の小さいシステムで使っている場合では、対応の優先度が変わります。

試験対策では、CVSSは「脆弱性の危険度を0～10.0で点数化する仕組み」と押さえると分かりやすいです。

つまりCVSSは、「どの脆弱性から優先して対応すべきか」を判断するための共通の物差しです。

したがって、アが適切です。

❌他選択肢が誤りの理由
イ：ISMS
⇒ISMSは、組織が情報セキュリティを継続的に管理するためのマネジメントシステムです。脆弱性の深刻度を三つの評価基準で数値化する仕組みではありません。

ウ：PCI DSS
⇒PCI DSSは、クレジットカード情報を安全に取り扱うためのセキュリティ基準です。脆弱性の深刻度を評価するための指標ではありません。

エ：PMS
⇒PMSは、個人情報を適切に保護・管理するための個人情報保護マネジメントシステムです。情報システムの脆弱性を評価する仕組みではありません。

TSUNAGARU-ADVICE

情報システムの脆弱性の深刻度を、基本評価基準・現状評価基準・環境評価基準の三つで評価するものはCVSSです。CVSSは、脆弱性の技術的な深刻さだけでなく、攻撃コードの有無や対策状況、利用者環境での影響なども踏まえて、脆弱性の深刻度を数値化する仕組みです。

ISMSは情報セキュリティマネジメントシステム、PCI DSSはクレジットカード情報を扱う事業者向けのセキュリティ基準、PMSは個人情報保護マネジメントシステムです。脆弱性の深刻度を評価し、スコアとして扱うものは、CVSSと判断しましょう。

科目Bでは、脆弱性情報・CVSSスコア・パッチ適用の優先順位・攻撃可能性・システムへの影響度などを読み取る問題が出ることがあります。CVSSを見るときは、単に点数の大小だけでなく、どこから攻撃できるのか、どの資産に影響するのか、自組織ではどれほど重大かまで考える視点を持ちましょう。

参考

情報システムの脆弱性の深刻度を評価するもの｜情報処理安全確保支援士 平成29年 秋期午前Ⅱ試験 問13