令和7年度 春期 午前 問40

✓ これが正解イソフトウェアについての脆弱性管理

解説

部品の一覧を持つことで脆弱性の影響範囲を追えます。

SBOMは、名前が示すとおり、ソフトウェアがどんな部品から組み立てられているかを並べた明細にあたるものです。利用している構成要素の名称と版、供給元、部品どうしの依存の関係などが記録されます。この明細を管理しておくと、ある部品に問題が公表されたときに、自社の製品やシステムのうちどれがその部品を含んでいるのかを短い時間で洗い出せます。手作業で開発の記録をたどり直す必要がなくなるので、影響があるかどうかの判断と、手当てをどこから始めるかの順序付けが速くなります。したがって管理ツールが力を発揮するのは、組み込んだ構成要素の弱点を把握して追い続ける取組みの側です。逆に、明細に載っていない情報を扱う対策には、この道具はそのままでは効きません。

ほかの選択肢はなぜ違うのか

• アソフトウェアでの利用者認証に用いるアカウ…：利用者認証に使うアカウントをまとめて管理すると述べています。扱う対象は人と権限であり、ソフトウェアを構成する部品の明細とは別の情報なので、その一覧から導ける対策ではありません。
• ウソフトウェアのソースコードについてのバー…：ソースコードの版を管理し、閲覧や変更を制限して書換えを防ぐと述べています。これは開発の成果物そのものを守る仕組みの役目で、組み込んだ部品の明細を使って行う管理とは働く場所が違います。
• エソフトウェアのソースコードのバックアップ…：ソースコードの控えを取り、悪意のあるプログラムの混入を防ぐと述べています。保全と検疫にあたる取組みであり、どの部品を使っているかを一覧にして追いかける働きとは別のものです。