重要度：B
問6：広く利用しているオープンソースライブラリに脆弱性が公表された。SBOMの活用方法として、最も適切なものはどれか。
- A：SBOMに対象ライブラリが記載された製品を、利用状況の確認を待たずに全て停止する
- B：SBOMを整備済みであれば、公表された脆弱性情報との照合は自動的に完了しているとみなす。
- C：SBOMで対象ライブラリを含む製品を抽出し、利用形態を確認して対策を決める
- D：SBOMを取引先へ提出すれば、自社での影響評価は取引先が行うことになる。
【第6問：正解と解説】
正解：C
・A
対象部品を含むことと、実際に悪用可能であることは別である。影響の確認前の全停止は過剰対応になる。
・B
SBOMは構成の把握を助ける資料であり、脆弱性情報との照合や影響評価は別途行う必要がある。
・C
正しい。構成部品の特定後に、バージョン、利用方法、到達可能性、公開範囲などを確認して対策を決める。含まれているだけで直ちに悪用可能とは限らない。
・D
SBOMの提出は構成情報の共有であり、自社システムへの影響評価の責任がなくなるわけではない。
重要度：B
問7：脆弱性診断ツールが、対象サーバに重大な脆弱性があると報告した。しかし、製造元は当該バージョンへ修正をバックポート済みとしている。対応として、最も適切なものはどれか。
- A：診断ツールの報告を優先し、製造元の情報は確認せずに再適用を行う
- B：製造元の説明を優先し、対象サーバでの反映状況は確認せず対応済みとする
- C：両者の情報が食い違うため、判断を保留して次回の定期診断まで持ち越す
- D：適用済み修正や設定、製造元情報を確認し、必要なら追加の検証で判断する
【第7問：正解と解説】
正解：D
・A
ツールの検出はバージョン番号だけを根拠にする場合があり、バックポート済みの修正を誤検知することがある。
・B
製造元の情報も重要だが、対象機器へ実際に反映されているかの確認が必要である。
・C
重大な脆弱性の判断を先送りすると、実際に存在した場合の攻撃機会を残す。
・D
正しい。複数の証拠を確認し、検出結果を適切に検証する。
重要度：C
問8：サーバへ脆弱性修正プログラムを適用した後の対応として、最も適切なものはどれか。
- A：再診断や動作確認で脆弱性の解消と業務影響を確かめ、結果を記録する
- B：適用コマンドが正常終了すれば、再起動や適用状況の確認は不要である。
- C：修正後は、同じ製品について新たな脆弱性情報を収集しない
- D：適用に失敗した場合も、記録を残さずに次回の保守まで放置する
【第8問：正解と解説】
正解：A
・A
正しい。適用作業が完了しただけでなく、修正の反映、サービスの正常性、残る問題を確認する必要がある。
・B
コマンド終了だけでは、修正が有効化されたかを判断できない場合がある。
・C
脆弱性は継続的に公表されるため、情報収集を続ける。
・D
失敗を記録・報告し、復旧や再実施を判断する必要がある。
重要度：C
問9：新しい脆弱性情報を受け取った直後に、組織が最初に行う対応として、最も適切なものはどれか。
- A：製品名だけを見て、確認せずに全社のシステム停止を決定する
- B：影響を受けるかの確認より先に、全従業員へパスワードの変更を指示する。
- C：資産台帳やSBOMで対象製品の利用状況を確認し、影響を評価する
- D：情報が公開された時点で既に手遅れなので、確認しない。
【第9問：正解と解説】
正解：C
・A
対象確認なしの全停止は、不要な業務影響を生む可能性がある。
・B
脆弱性の内容と無関係な対策では、根本的なリスクを下げられない。
・C
正しい。まず組織内の対象を特定し、実際の露出と影響を確認して対応を決める。
・D
公表後でも、迅速な確認と対策によって被害を防止・低減できる。
重要度：C
問10：社内サーバの脆弱性診断を詳しく行うため、認証付きスキャンを計画している。実施方法として、最も適切なものはどれか。
- A：管理者の個人アカウントとパスワードを、診断担当者全員で共有する。
- B：必要最小限の権限を持つ診断専用アカウントを用意して実施する
- C：本番データを自由に変更できる権限を診断アカウントへ付与する。
- D：診断の終了後もアカウントを削除せず、無期限に有効なままにする
【第10問：正解と解説】
正解：B
・A
個人アカウントの共有は、責任追跡性を損ない、認証情報の漏えいリスクを高める。
・B
正しい。認証付き診断では、診断目的を達成できる範囲で必要最小限の権限を専用アカウントに付与し、認証情報を安全に管理する。診断終了後は、不要になったアカウントを無効化又は削除する。
・C
診断に不要な更新権限は、事故や不正変更のリスクとなる。
・D
利用目的を終えたアカウントは無効化又は削除する。
コメント