出典：平成30年度 春期 情報セキュリティマネジメント試験（SG） 午前 問17
難易度設定
スポンサーリンク
予備知識
| 用語 | 意味 |
|---|---|
| 脆弱性 | 放っておくとヤバいところ。セキュリティ上のバグや弱点、考慮漏れ等の欠陥 |
| ベンダ | 「販売会社」のこと。もしくは「売り手」（サービスを提供する側）のこと |
| パッチ | ソフトに変更を加えるために用意された、後付けのプログラム |
| セキュリティパッチ | セキュリティ的な欠陥を修正するパッチ |
| サーバ | サービスや機能を提供する側のコンピュータ |
| ソースコード | 人間語で書いたプログラムの元ネタ |
| アクセス権 | ファイルやフォルダなどに対する「触っていーよ権限」 |
| インストール | ソフトを中に入れて使えるようにすること |
問題
| 問題文 |
|---|
| A社では，利用しているソフトウェア製品の脆弱性に対して，ベンダから提供された最新のセキュリティパッチを適用することを決定した。ソフトウェア製品がインストールされている組織内のPCやサーバについて，セキュリティパッチの適用漏れを防ぎたい。そのために有効なものはどれか。 |
| ピヨ意訳：ピヨピヨカンパニーのパソコンやサーバにセキュリティパッチ（ソフトの弱点を修正する後付けプログラム）をくっつけるよ。くっつけ漏れがないようにしたいんだけど、そのために有効なのはどれ？ |
| 解答選択肢 | |
|---|---|
| ア | ソフトウェア製品の脆弱性の概要や対策の情報が蓄積された脆弱性対策情報データベース(JVN iPedia) |
| ピヨ意訳：ソフトの弱点に関する情報が蓄積されたデータベース | |
| イ | ソフトウェア製品の脆弱性の特性や深刻度を評価するための基準を提供する共通脆弱性評価システム(CVSS) |
| ピヨ意訳：ソフトの弱点のヤバさとかを評価するための基準 | |
| ウ | ソフトウェア製品のソースコードを保存し，ソースコードへのアクセス権と変更履歴を管理するソースコード管理システム |
| ピヨ意訳：ソースコード（プログラムの元ネタ）のバージョンとかを管理するシステム | |
| エ | ソフトウェア製品の名称やバージョン，それらが導入されている機器の所在，IPアドレスを管理するIT資産管理システム |
| ピヨ意訳：どんなソフトがどこにあるどんな機器に入っているかを管理するシステム | |
正解
| 正解 | |
|---|---|
| エ | ソフトウェア製品の名称やバージョン，それらが導入されている機器の所在，IPアドレスを管理するIT資産管理システム |
| ピヨ意訳：どんなソフトがどこにあるどんな機器に入っているかを管理するシステム | |
ピヨピヨ解説
漢字が多くて「おえー（－Ａ－）」となりそうですね。
ただし問題文を頑張って読み解けば、そんなに難しくありません。
国語力だけでも解けます。
問題文が言ってることは
セキュリティパッチの適用を漏れなくやりたいよ
です。
そのためには、セキュリティパッチを適用するべきコンピュータがどこにどれくらいあるかを把握しなくてはいけません。
ということで、どんなソフトがどこにあるどんな機器に入っているかとかが把握できる「エ：ソフトウェア製品の名称やバージョン，それらが導入されている機器の所在，IPアドレスを管理するIT資産管理システム」が正解です。
ちなみに「ア：ソフトウェア製品の脆弱性の概要や対策の情報が蓄積された脆弱性対策情報データベース(JVN iPedia)」で分かるのは「弱点に、どう対処すれば良いか？」です。
対処の仕方は分かっています。
「セキュリティパッチを適用する」です。
これを使っても、どの機器にセキュリティパッチを適用するべきかは分かりません。
「イ：ソフトウェア製品の脆弱性の特性や深刻度を評価するための基準を提供する共通脆弱性評価システム(CVSS)」で分かるのは「弱点のヤバさ」とかです。
これを使っても、どの機器にセキュリティパッチを適用するべきかは分かりません。
「ウ：ソフトウェア製品のソースコードを保存し，ソースコードへのアクセス権と変更履歴を管理するソースコード管理システム」で分かるのは……何じゃ？これ。
これはシステム開発をするときに使うソフトです。
脆弱性うんぬんと直接の関係は ありません。
