脆弱性管理、測定、評価を自動化するためにNISTが策定した基準はどれか。

選択肢

• アFIPS (Federal Information Processing Standards)
• イSCAP (Security Content Automation Protocol)
• ウSIEM (Security Information and Event Management)
• エSOAR (Security Orchestration, Automation and Response)

正解と解説

正解：イ SCAP (Security Content Automation Protocol)

SCAPは、脆弱性や設定に関する情報を機械可読な形式で表現し、その管理・測定・評価を自動化するためにNISTが定めた仕様群である。脆弱性の識別子であるCVE、深刻度を数値化するCVSS、設定項目の識別子CCE、製品識別子CPEなどの標準を組み合わせて構成される。共通の識別子を用いることで、異なる製品間で脆弱性情報を突き合わせ、自動的に評価できる。

選択肢ごとの解説

• ア米国の連邦情報処理標準の総称であり、脆弱性管理の自動化仕様ではない。
• イ正解。脆弱性管理と評価を自動化するためにNISTが策定した仕様群である。
• ウログを収集・相関分析する製品分野の名称であり、NISTの基準ではない。
• エインシデント対応の自動化・連携を担う製品分野の名称である。

同じ分野の他の問題

• ソフトウェアの脆弱性管理のためのツールとしても利用されるSBOM(Software Bill of Materials)…2024年度 春期 午前II 問17
• JVNなどの脆弱性対策ポータルサイトで採用されているCWEはどれか。2024年度 春期 午前II 問9
• JVNなどの脆弱性対策情報ポータルサイトで採用されているCVE(Common Vulnerabilities and E…2021年度 春期 午前II 問8
• 基本評価基準、現状評価基準、環境評価基準の三つの基準で情報システムの脆弱性の深刻度を評価するものはどれか。2019年度 秋期 午前II 問9
• JVNなどの脆弱性対策情報ポータルサイトで採用されているCVE(Common Vulnerabilities and E…2018年度 秋期 午前II 問2