情報処理安全確保支援士試験 情報処理安全確保支援士試験 令和5年度秋期 午前Ⅱ 問12: 脆弱性管理，測定，評価を自動化するために NIST が策定した基準はどれか。

問題本文

脆弱性管理，測定，評価を自動化するために NIST が策定した基準はどれか。

選択肢

• ア.FIPS（Federal Information Processing Standards）
• イ.SCAP（Security Content Automation Protocol）
• ウ.SIEM（Security Information and Event Management）
• エ.SOAR（Security Orchestration, Automation and Response）

正解

イ. SCAP（Security Content Automation Protocol）

解説

SCAPは、NISTが策定した、脆弱性管理・測定・評価を自動化するための標準群。CVE（脆弱性識別子）、CVSS（深刻度評価）、CCE、CPEなどの仕様を組み合わせて、脆弱性情報を機械可読に共通化する。よってイが正解。実務では脆弱性スキャナや構成管理ツールがSCAP準拠で連携でき、対応の自動化・効率化を実現する。

選択肢ごとの解説

• ア.FIPSは連邦政府の情報処理規格全般で、脆弱性管理自動化に特化した基準ではない。
• イ.脆弱性管理・測定・評価を自動化するNIST策定の基準、というSCAPの定義そのもの。
• ウ.SIEMはログを相関分析する仕組みで、NISTの脆弱性自動化基準ではない。
• エ.SOARは対応の自動化・オーケストレーション基盤で、SCAPとは別の概念。