令和5年度秋期情報処理安全確保支援士試験午前II 問12

テクノロジセキュリティ技術

この問題は2023(R5)秋情報処理安全確保支援士午前IIに出題されたものです。出題時点の法令・制度に基づく内容のため、現行の内容と一致しない場合があります。

本ページの問題文・選択肢は、原本の体裁を Web 表示用に正規化しています（改行・記号・数式・図表参照の調整）。設問の趣旨および正解に影響する変更は加えていません。

脆弱性管理, 測定, 評価を自動化するためにNISTが策定した基準はどれか。

ア. FIPS (Federal Information Processing Standards)

イ. SCAP (Security Content Automation Protocol)

ウ. SIEM (Security Information and Event Management)

エ. SOAR (Security Orchestration, Automation and Response)

解答・解説を読む

正解: 選択肢イ

NIST（米国国立標準技術研究所）が策定した、脆弱性管理やセキュリティ設定の測定・評価を自動化するための標準的な枠組みは SCAP (Security Content Automation Protocol) です。SCAPは、脆弱性の識別子（CVE）や深刻度の評価手法（CVSS）など、複数のオープンな仕様を組み合わせて構成されています。

各選択肢の解説

ア FIPS (Federal Information Processing Standards): 米国連邦情報処理標準です。米国連邦政府の機関が利用する情報システムにおける、暗号技術やセキュリティ要件などの標準規格を定めたものです。
イ SCAP (Security Content Automation Protocol): 正解です。脆弱性管理、測定、評価を自動化するためにNISTが策定した基準です。
ウ SIEM (Security Information and Event Management): ネットワーク機器やサーバーなどの様々なシステムから出力されるログを一元的に収集・相関分析し、セキュリティ上の脅威や異常を早期に検知する仕組みのことです。
エ SOAR (Security Orchestration, Automation and Response): 様々なセキュリティ機器やシステムと連携し、インシデント対応などのセキュリティ運用プロセスを自動化・効率化する技術やソリューションのことです。