情報処理安全確保支援士試験 令和5年秋期午前Ⅱ 脆弱性管理・測定・評価の自動化
出典：令和5年秋期 午前Ⅱ 問12
分野：セキュリティ ／ セキュリティ技術評価
脆弱性管理，測定，評価を自動化するためにNISTが策定した基準はどれか。
- ア：FIPS(Federal Information Processing Standards)
- イ：SCAP(Security Content Automation Protocol)
- ウ：SIEM(Security Information and Event Management)
- エ：SOAR(Security Orchestration，Automation and Response)
TSUNAGARU-ADVICE
まず押さえたいこと
SCAPは、脆弱性管理や設定確認などを自動化するために、セキュリティ情報を標準化して扱うための仕様群です。
迷ったときの判断軸
FIPSは米国連邦政府向けの情報処理標準、SIEMはログの収集・相関分析、SOARはセキュリティ運用や対応の自動化を指します。一方で、脆弱性管理・測定・評価の自動化という文脈なら、NISTが策定したSCAPと整理すると判断しやすくなります。
科目Bにつなげるために
科目Bでは、脆弱性対応の場面で、脆弱性情報や設定情報をどのように標準化し、自動的に評価するかが問われます。SCAPは、脆弱性管理を人手だけに頼らず、ツールで機械的に扱いやすくするための基準として理解しておきましょう。
SCAP（Security Content Automation Protocol）は、脆弱性管理・構成管理・セキュリティ測定などを自動化するために、NISTが策定した技術仕様群です。
脆弱性や設定情報を標準化された形式で扱うことで、複数のツール間で情報を共有し、評価や管理を自動化しやすくします。
したがって、イが適切です。
❌他選択肢が誤りの理由ア：FIPS（Federal Information Processing Standards）
⇒米国連邦政府向けの情報処理標準です。暗号モジュールのセキュリティ要件などを定めますが、脆弱性管理や測定を自動化するための基準ではありません。
ウ：SIEM（Security Information and Event Management）
⇒ログやイベント情報を収集・分析し、セキュリティ監視に用いる仕組みです。NISTが策定した脆弱性管理自動化の基準ではありません。
エ：SOAR（Security Orchestration，Automation and Response）
⇒セキュリティ運用やインシデント対応を自動化・効率化する仕組みです。SCAPの説明ではありません。