情報セキュリティマネジメント 平成30年度 春期 午前 問17

✓ これが正解エ ソフトウェア製品の名称やバージョン，それらが導入されている機器の所在，IPアドレスを管理するIT資産管理システム

解説

どの機器に何が入っているかの一覧が漏れを防ぎます。

セキュリティパッチの適用漏れは、当てるべき相手を取りこぼすことで起きます。防ぐには、組織内のどのPCやサーバに、どの製品の、どのバージョンが入っているのかを、置き場所や割り当てられたIPアドレスまで含めて把握した一覧が必要です。ソフトウェア製品の名称やバージョンと、それらが導入されている機器の所在やIPアドレスを管理するIT資産管理システムは、まさにその一覧を持つ仕組みなので、まだ当て終わっていない機器を突き合わせて洗い出せます。守る対象を数え上げてから対策を配る、という資産管理の考え方です。残りの三つは、弱点そのものを知るための情報源、弱点の深刻さを測る物差し、開発の成果物を管理する仕組みで、いずれも当てる先の取りこぼしを見つける役には立ちません。

ほかの選択肢の解説

• ア …概要や対策の情報が蓄積された脆弱性対策情報データベース（JVN iPedia）：脆弱性の概要や対策の情報を蓄積したデータベースは、どんな弱点があってどう直せばよいかを調べるための情報源です。自社のどの機器に当て忘れが残っているかまでは分からないので、取りこぼしの発見には結び付きません。
• イ …特性や深刻度を評価するための基準を提供する共通脆弱性評価システム（CVSS）：脆弱性の特性や深刻度を評価するための基準は、見つかった弱点をどれだけ急いで手当てすべきかを判断する物差しです。当てる先の機器を数え上げる働きは持たないため、当て忘れは見つけられません。
• ウ ソフトウェア製品のソースコードを保存し，ソースコードへのアクセス権と変更履歴を管理するソースコード管理システム：ソースコードを保存し、アクセス権と変更履歴を管理する仕組みは、開発の成果物そのものを守るためのものです。導入済みの製品がどの機器に入っているかを示すわけではないので、点検には使えません。