ソフトウェアの脆弱性管理のためのツールとしても利用されるSBOM(Software Bill of Materials)はどれか。

選択肢

• アソフトウェアの脆弱性に対する、ベンダーに依存しないオープンで汎用的な深刻度の評価方法
• イソフトウェアのセキュリティアップデートを行うときに推奨される管理プロセス、組織体制などをまとめたガイドライン
• ウソフトウェアを構成するコンポーネント、互いの依存関係などのリスト
• エ米国の非営利団体MITREによって策定された、ソフトウェアにおけるセキュリティ上の弱点の種類を識別するための基準

正解と解説

正解：ウ ソフトウェアを構成するコンポーネント、互いの依存関係などのリスト

SBOMは、ソフトウェアを構成する部品、すなわち利用しているライブラリやコンポーネントとそのバージョン、相互の依存関係を機械可読な形で列挙したものである。新たな脆弱性が公表された際、自社製品のどこに該当部品が含まれるかを短時間で特定でき、影響調査と対処の迅速化につながる。サプライチェーンの透明性を高める手段として、公的な調達要件にも取り入れられている。

選択肢ごとの解説

• ア深刻度の評価方法はCVSSであり、SBOMではない。
• イ更新プロセスを示すガイドラインの説明であり、部品表そのものではない。
• ウ正解。構成コンポーネントと依存関係を列挙したリストである。
• エ弱点の種類を識別する基準はCWEの説明である。

同じ分野の他の問題

• JVNなどの脆弱性対策ポータルサイトで採用されているCWEはどれか。2024年度 春期 午前II 問9
• 脆弱性管理、測定、評価を自動化するためにNISTが策定した基準はどれか。2023年度 秋期 午前II 問12
• JVNなどの脆弱性対策情報ポータルサイトで採用されているCVE(Common Vulnerabilities and E…2021年度 春期 午前II 問8
• 基本評価基準、現状評価基準、環境評価基準の三つの基準で情報システムの脆弱性の深刻度を評価するものはどれか。2019年度 秋期 午前II 問9
• JVNなどの脆弱性対策情報ポータルサイトで採用されているCVE(Common Vulnerabilities and E…2018年度 秋期 午前II 問2