平成25年度 春期 情報セキュリティスペシャリスト試験 午前Ⅱ 問10

✓ これが正解アCVSS

解説

三つの評価基準で脆弱性の深刻さを評価するのは CVSS です。

CVSS は、IT 製品の脆弱性がどれだけ深刻かを、ベンダに依存しない共通の尺度で評価する手法です。出題当時の CVSS（v2）では、評価は三つの基準で行います。基本評価基準は脆弱性そのものの性質、現状評価基準は対策や攻撃コードの状況など時間とともに変わる要素、環境評価基準は利用者ごとの環境に応じた影響を扱います。三つの基準を持つ評価の仕組みかどうかで、管理の仕組みや業界の基準と見分けられます。

ほかの選択肢はなぜ違うのか

• イISMS：ISMS は、組織が情報セキュリティを管理するための仕組みです。リスクを見極めて対策を決め、見直しを続ける管理の枠組みであり、個々の製品の弱点を点数にするものではありません。
• ウPCI DSS：PCI DSS は、クレジットカードの情報を扱う事業者が守るべきデータセキュリティの基準です。対象はカード会員のデータを守る体制であり、製品の弱点の深刻さを測る尺度ではありません。
• エPMS：PMS は、個人情報を適切に扱うためのマネジメントシステムです。組織の中で個人情報の保護を管理する枠組みであり、製品の弱点を評価する基準とは目的が異なります。