情報処理安全確保支援士試験 情報処理安全確保支援士試験 令和5年度秋期 午前Ⅱ 問12: 脆弱性管理，測定，評価を自動化するために NIST が策定した基準はどれか。

正解

イ. SCAP（Security Content Automation Protocol）

正答率 0.0%（4人中 0人が正解）

問題の解説

SCAPは、NISTが策定した、脆弱性管理・測定・評価を自動化するための標準群。CVE（脆弱性識別子）、CVSS（深刻度評価）、CCE、CPEなどの仕様を組み合わせて、脆弱性情報を機械可読に共通化する。よってイが正解。実務では脆弱性スキャナや構成管理ツールがSCAP準拠で連携でき、対応の自動化・効率化を実現する。

選択肢ごとの解説

• アFIPSは連邦政府の情報処理規格全般で、脆弱性管理自動化に特化した基準ではない。
• イ脆弱性管理・測定・評価を自動化するNIST策定の基準、というSCAPの定義そのもの。
• ウSIEMはログを相関分析する仕組みで、NISTの脆弱性自動化基準ではない。
• エSOARは対応の自動化・オーケストレーション基盤で、SCAPとは別の概念。