情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 平成30年度春期 午前 問17: A社では，利用しているソフトウェア製品の脆弱性に対して，ベンダから提供された最新のセキュリティパッチを適用することを決定した。ソフトウェア製品がインストールされ

正解

エ. ソフトウェア製品の名称やバージョン，それらが導入されている機器の所在，IPアドレスを管理する IT 資産管理システム

正答率 76.9%（26人中 20人が正解）

問題の解説

パッチ適用漏れを防ぐには，組織内のどの機器にどのソフトウェアのどのバージョンが導入されているかを正確に把握できる仕組みが必要である。ソフトウェア製品の名称・バージョンや導入機器の所在・IPアドレスを管理するIT資産管理システムを使えば，未対応の機器を特定して漏れなくパッチを適用できる。よって正解はエである。

選択肢ごとの解説

• アJVN iPediaは脆弱性と対策の情報を提供するデータベースであり，自組織のどの機器が未適用かを把握する手段ではない。
• イCVSSは脆弱性の深刻度を評価する共通基準であり，パッチ適用漏れの機器を特定するものではない。
• ウソースコード管理システムは自社開発コードの版管理に用いるものであり，導入済みソフトのパッチ適用状況の把握には役立たない。
• エIT資産管理システムは導入ソフトの名称・バージョンや機器の所在・IPアドレスを管理できるため，適用漏れの機器を特定でき有効である。