令和元年度 秋期 午前Ⅱ 問9

✓ これが正解アCVSS

解説

基本・現状・環境の3基準で深刻度を評価するのは CVSS です。

CVSS（共通脆弱性評価システム）は、情報システムの脆弱性の深刻度を、製品や組織に依存しない共通の尺度で表すための仕組みです。出題当時の CVSS（v3）では、基本評価基準は脆弱性そのものがもつ性質、現状評価基準は攻撃コードの出回り具合や対策の状況など時間とともに変わる性質、環境評価基準は利用者の環境に応じた影響を評価します。深刻度は 0.0 から 10.0 の数値で表されます。設問の3つの基準の名前は、出題当時のこの仕組みの構成そのものです。見分ける軸は、並んだ名前が脆弱性の採点の仕組みか、組織の管理の仕組みや業界の基準かという点です。

ほかの選択肢はなぜ違うのか

• イISMS：ISMS は情報セキュリティマネジメントシステムのことで、組織が情報セキュリティを管理するための仕組みです。個々の脆弱性に点数を付けて深刻度を比べるための評価基準ではありません。
• ウPCI DSS：PCI DSS はクレジットカード情報を扱う事業者向けのセキュリティ基準です。カード会員データを守るための要件を定めたもので、3つの評価基準で脆弱性の深刻度を採点するものではありません。
• エPMS：PMS は個人情報保護マネジメントシステムのことで、個人情報を適切に扱うための組織の管理の仕組みです。脆弱性の深刻度を3つの基準で評価する方法とは目的が違います。