情報処理安全確保支援士試験 情報処理安全確保支援士試験 令和元年度秋期 午前Ⅱ 問9: 基本評価基準，現状評価基準，環境評価基準の三つの基準で情報システムの脆弱性の深刻度を評価するものはどれか。

正解

ア. CVSS

正答率 100.0%（3人中 3人が正解）

問題の解説

CVSSは脆弱性の深刻度を共通の指標で数値化する仕組みで、固有の特性を表す基本評価基準、悪用状況や対策状況を表す現状評価基準、利用環境の影響度を表す環境評価基準の三つで評価する。これに合致するのはア。ISMSは管理体系、PCI DSSはカード業界の基準、PMSは個人情報保護のマネジメントで深刻度評価の指標ではない。実務では脆弱性対応の優先順位付けに用いる。

選択肢ごとの解説

• ア基本・現状・環境の三基準で脆弱性の深刻度を評価する仕組みがCVSSであり、これが正解。
• イISMSは情報セキュリティマネジメントの体系で、脆弱性の深刻度を数値評価する指標ではない。
• ウPCI DSSはクレジットカード情報保護のセキュリティ基準で、脆弱性深刻度の評価指標ではない。
• エPMSは個人情報保護マネジメントシステムで、脆弱性の深刻度評価とは目的が異なり誤り。