基本情報技術者 技術要素 一問一答 第16問〜第20問｜セキュリティ

○　CVSSは脆弱性の深刻度を0.0〜10.0のスコアで表す共通の評価手法であり、製品やベンダが異なっても同じ物差しで深刻度を比較して、対応の優先順位付けに活用できる。

×　脆弱性診断は、対象システムの弱点をツールや手作業によって確認し、対策すべき脆弱性を洗い出すことを主な目的とする。ペネトレーションテストは、あらかじめ合意した範囲内で攻撃者の手口を模した検証を行い、侵入や権限拡大などの目的をどこまで達成できるか、その影響を確認する。具体的な手法と範囲は契約やテスト計画によって異なる。

○　証拠としての価値を保つには元データの完全性が重要であり、複製を作成して原本を保全するなど、改変を防ぐ手続に従って収集・分析を行う。

○　筐体を開けると動作を停止する、内部のメモリを容易に読み出せない構造にするなどの対策によって、機器を物理的に解析・改造されても秘密情報が漏れにくいようにする性質を指す。

×　氏名を削除しても、住所や生年月日など他の情報と容易に照合することによって個人を特定できる場合があり、その場合は引き続き個人情報として扱う必要がある。個人データを第三者へ提供する場合は、原則として本人の事前同意を得るなど、個人情報保護法に従った対応が必要である。法令上の例外に該当する場合や、適切に作成した匿名加工情報として提供する場合などには、本人の同意を得ずに提供できることがある。