令和6年度 III-2

解説

この問題で問われていること

脆弱性の深刻度を定量的に比較する評価手法を選ぶ問題。

解き方

① 脆弱性関連の用語: CVSS=深刻度を0〜10で点数化する評価手法、CVE=脆弱性の識別番号、JVN=日本の脆弱性情報サイト、JPCERT/CC=対応組織、DKIM=メールの電子署名
② 「深刻度を同一基準で定量的に比較」はCVSS
③ ④

正解が正しい理由

CVSS(Common Vulnerability Scoring System、共通脆弱性評価システム)は、情報システムの脆弱性に対する、オープンで包括的・汎用的な評価手法で、攻撃の容易さや影響の大きさなどの評価項目から、脆弱性の深刻度を0〜10のスコアとして、同一の基準で定量的に表し、比較できるようにしたものである。したがって④が最も適切である。

各選択肢について

• ① JVN(Japan Vulnerability Notes)は、脆弱性対策情報の日本語のポータルサイトで、評価手法ではない。
• ② CVEは、個々の脆弱性に識別番号(CVE-ID)を付与して、共通の名称で参照できるようにする仕組みで、深刻度の評価手法ではない。
• ③ DKIMは、電子署名による送信ドメイン認証の技術で、脆弱性評価とは無関係である。
• ④ CVSSは、脆弱性の深刻度を同一基準で定量的に比較する評価手法で、これが正答。
• ⑤ JPCERT/CCは、コンピュータセキュリティインシデントへの対応や情報提供を行う組織である。

覚えるべきポイント

CVE=脆弱性の識別番号、CVSS=脆弱性の深刻度の評価(スコア)、JVN=脆弱性対策情報のポータル、JPCERT/CC=インシデント対応の調整機関。