情報セキュリティマネジメント 平成28年度 秋期 午前 問4

✓ これが正解ウ 脆弱性対策情報などを提供するポータルサイト

解説

JVNは脆弱性と対策の情報をまとめて届けるサイトです。

JVNは Japan Vulnerability Notes の略で、国内で使われているソフトウェア製品などに見つかった脆弱性と、その対策の情報を集めて公開しているポータルサイトです。どの製品のどの版が影響を受けるのか、直すにはどうすればよいのかがまとめて分かるので、自分の組織で使っている製品に修正プログラムを当てるべきか、設定を見直すべきかという判断に使えます。この設問は、名前も場面も近い用語が並ぶところを突いています。JVNは情報を届ける場所であって、深刻さを測るものさしでも、一つ一つの弱点に付ける番号でも、事故に対処する人の集まりでもない、と役割の違いで整理しておくと混ざりません。

ほかの選択肢の解説

• ア 情報システムに存在する脆弱性の深刻度を評価する手法：弱点がどれくらい深刻かを共通の尺度で点数化する評価の手法についての説明で、CVSSがこれに当たります。深刻さを測るものさしであって、情報をまとめて公開する場所のことではありません。
• イ 製品に存在する脆弱性に対して採番された識別子：一つ一つの弱点を取り違えずに指し示すために付けられる識別番号についての説明です。どれの話かを特定するための番号であり、対策の情報を集めて届ける仕組みそのものではありません。
• エ 組織内の情報セキュリティ問題を専門に扱うインシデント対応チーム：組織の中でセキュリティの問題に対処する人の集まり、つまりCSIRTについての説明です。事が起きたときに動く体制のことで、対策の情報を掲載して公開するサイトとは別のものです。