令和6年度 春期 情報処理安全確保支援士試験 午前II 問17

【解説】

ア: ソフトウェアの脆弱性に対する，ベンダーに依存しないオープンで汎用的な深刻度の評価方法
誤り。これはCVSS（Common Vulnerability Scoring System）に該当します。SBOMはソフトウェアの構成要素に焦点を当てています。

イ: ソフトウェアのセキュリティアップデートを行うときに推奨される管理プロセス，組織体制などをまとめたガイドライン
誤り。これはセキュリティの運用ガイドラインに関連する内容であり、SBOMの内容とは異なります。

ウ: ソフトウェアを構成するコンポーネント，互いの依存関係などのリスト
正しい。SBOM（Software Bill of Materials）は、ソフトウェアを構成するコンポーネントやその依存関係を記載したリストです。これにより、脆弱性のあるコンポーネントを特定しやすくなり、セキュリティ管理やリスク評価に役立ちます。

エ: 米国の非営利団体MITREによって策定された，ソフトウェア上の弱点の種類を識別するための基準
誤り。これはCWE（Common Weakness Enumeration）に該当します。SBOMは具体的な構成要素や依存関係に関するリストです。