平成30年度 春期 情報処理安全確保支援士試験 午前II 問1

【解説】

ア: 機密性への影響，どこから攻撃が可能かといった攻撃元区分，攻撃する際に必要な特権レベルなど，脆弱性そのものの特性を評価する。
正しい。これは基本評価基準の説明に該当します。脆弱性そのものの特性や技術的な詳細を評価するものです。

イ: 攻撃される可能性，利用可能な対策のレベル，脆弱性情報の信頼性など，評価時点における脆弱性の特性を評価する。
誤り。これは現状評価基準の説明です。脆弱性が現在の状況でどのような特性を持つかを評価します。

ウ: 脆弱性を悪用した攻撃シナリオについて，機会，正当化，動機の三つの観点から，脆弱性が悪用される基本的なリスクを評価する。
誤り。これはリスクシナリオ分析に近い概念であり、CVSSの具体的な評価基準ではありません。

エ: 利用者のシステムやネットワークにおける情報セキュリティ対策など，攻撃の難易度や攻撃による影響度を再評価し，脆弱性の最終的な深刻度を評価する。
誤り。これは環境評価基準の説明です。組織や利用環境に基づいて脆弱性の影響を再評価します。