重要度：A 論点：CVSSの利用目的
問1：CVSSは、脆弱性の技術的な深刻度を共通の尺度で表し、対応の優先順位を検討する際の材料として利用できる。
解答を見る
○：CVSSは脆弱性の深刻度を共通の指標で表す仕組みである。ただし、実際の優先順位は資産の重要度、公開範囲、悪用状況なども合わせて判断する。
重要度：A 論点：脆弱性診断の限界
問2：脆弱性診断で問題が検出されなければ、対象システムに脆弱性が存在しないことが完全に保証される。
解答を見る
×：脆弱性診断は、定めた範囲について既知の脆弱性や設定不備を広く確認する手法である。診断範囲、ツールの能力、検査時点、未知の脆弱性、見逃し（フォールスネガティブ）などの限界があり、無検出でも安全が完全に保証されるわけではない。
重要度：B 論点：ISO/IEC 15408（CC）
問3：ISO/IEC 15408（コモンクライテリア）は、IT製品や情報システムのセキュリティ機能を評価するための国際的な基準である。
解答を見る
○：製品のセキュリティ機能が適切に設計・実装されているかを、共通の枠組みで評価するための基準である。
重要度：B 論点：JISECとJCMVP
問4：JISECは、暗号モジュールの安全性を試験して認証する制度である。
解答を見る
×：JISECはISO/IEC 15408に基づいてIT製品のセキュリティを評価・認証する制度である。暗号モジュールの試験・認証を行うのはJCMVPである。
重要度：B 論点：CVEとCWE
問5：CVEは、脆弱性の種類や原因を分類するための体系である。
解答を見る
×：CVEは個々の脆弱性に付与される識別子である。脆弱性の種類・原因を分類する体系はCWEであり、両者の役割を区別する。
コメント