基本評価基準，現状評価基準，環境評価基準の三つの基準で情報システムの脆弱性の深刻度を評価するものはどれか。

選択肢

• アCVSS
• イISMS
• ウPCI DSS
• エPMS

正解と解説

正解：ア CVSS

CVSSは脆弱性の深刻度を共通の尺度で評価する枠組みで、脆弱性そのものの特性を評価する基本評価基準、攻撃コードの出回りや対策状況といった時間経過で変わる要素を評価する現状評価基準、利用環境における影響度を評価する環境評価基準の三つで構成される。ベンダに依存しない共通指標として脆弱性情報の共有に用いられる。

選択肢ごとの解説

• ア正解。基本・現状・環境の三つの基準で脆弱性の深刻度を数値評価する共通指標。
• イ情報セキュリティマネジメントの仕組みであり、脆弱性の深刻度を採点する指標ではない。
• ウクレジットカード情報を扱う事業者向けのセキュリティ基準。
• エ個人情報保護マネジメントシステムのことで、脆弱性評価とは無関係。

同じ分野の他の問題

• 基本評価基準、現状評価基準、環境評価基準の三つの基準で情報システムの脆弱性の深刻度を評価するものはどれか。2019年度 秋期 午前II 問9
• CVSS v3の評価基準には,基本評価基準,現状評価基準,環境評価基準の三つがある。基本評価基準の説明はどれか。2018年度 春期 午前II 問1
• ソフトウェアの脆弱性管理のためのツールとしても利用されるSBOM(Software Bill of Materials)…2024年度 春期 午前II 問17
• JVNなどの脆弱性対策ポータルサイトで採用されているCWEはどれか。2024年度 春期 午前II 問9
• 脆弱性管理、測定、評価を自動化するためにNISTが策定した基準はどれか。2023年度 秋期 午前II 問12