基本評価基準、現状評価基準、環境評価基準の三つの基準で情報システムの脆弱性の深刻度を評価するものはどれか。

選択肢

• アCVSS
• イISMS
• ウPCI DSS
• エPMS

正解と解説

正解：ア CVSS

CVSSは脆弱性の深刻度を共通の尺度で数値化する評価手法で、脆弱性そのものの特性を評価する基本評価基準、攻撃コードの出回り具合や対策状況といった時間変化を評価する現状評価基準、利用環境における影響度を評価する環境評価基準の三つで構成される。

選択肢ごとの解説

• ア正しい。基本・現状・環境の三基準で脆弱性の深刻度を評価するのがCVSSである。
• イISMSは情報セキュリティマネジメントシステムの枠組みであり、脆弱性の深刻度評価手法ではない。
• ウPCI DSSはクレジットカード業界のセキュリティ基準であり、脆弱性の点数付けの手法ではない。
• エPMSは個人情報保護マネジメントシステムであり、脆弱性評価とは関係がない。

同じ分野の他の問題

• CVSS v3の評価基準には,基本評価基準,現状評価基準,環境評価基準の三つがある。基本評価基準の説明はどれか。2018年度 春期 午前II 問1
• 基本評価基準，現状評価基準，環境評価基準の三つの基準で情報システムの脆弱性の深刻度を評価するものはどれか。2017年度 秋期 午前II 問13
• ソフトウェアの脆弱性管理のためのツールとしても利用されるSBOM(Software Bill of Materials)…2024年度 春期 午前II 問17
• JVNなどの脆弱性対策ポータルサイトで採用されているCWEはどれか。2024年度 春期 午前II 問9
• 脆弱性管理、測定、評価を自動化するためにNISTが策定した基準はどれか。2023年度 秋期 午前II 問12