CVSS【情報処理安全確保支援士試験 平成30年度 秋期 午後1 問3 設問2】
情報処理技術者試験、情報処理安全確保支援士試験の午後問題を通じて、情報セキュリティの知識を体系的に蓄積していきましょう。
キーワードに加え、設計やインシデント対応能力をシミュレーションできる良い学びの場ですので、試験合格はもちろん、情報処理安全確保支援士となった後も能力向上のために学習できるいい機会です。
今回は、「CVSS」を取り上げた「情報処理安全確保支援士試験 平成30年度 秋期 午後1 問3 設問2」です。
問題文中、設問に該当する部分ですぐに解答を説明しています。
ストーリーとして何度も読みこなすと、自然に記憶に定着してくると思います。
情報処理安全確保支援士試験 平成30年度 秋期 午後1 問3 設問2
問3 ソフトウェアの脆弱性対策に関する次の記述を読んで、設問1〜5に答えよ。
（略）
【脆弱性情報の公開と対応】
ある日、S君は、アプリケーションフレームワーク（以下、AFという）のうち、Eサーバで使用しているもの（以下、E-AFという）の脆弱性（以下、脆弱性Tという）の情報が、前日に公開されていることを発見し、Kリーダに報告した。脆弱性Tの情報を図2に示す。
a：CVSS
CVSS（Common Vulnerability Scoring System）とは、問題文のとおり、セキュリティ脆弱性について「基本評価基準、現状評価基準、環境評価基準の三つの基準で脆弱性の深刻さを評価するシステム」です。
- 基本評価基準：脆弱性そのものの特性を評価する基準。評価結果は固定で、時間経過や環境に依存しない。CVSS基本値を算出。
- 現状評価基準：脆弱性の現在の深刻度を評価する基準。攻撃コードの出現有無や対策情報が利用可能であるか、などで評価し、時間経過による変化する。CVSS現状値を算出。
- 環境評価基準：利用環境を含め、最終的な脆弱性の深刻度を評価する基準。ユーザ毎に変化。CVSS環境値を算出。
- 深刻度レベル：なし（0）、注意（0.1〜3.9）、警告（4.0〜6.9）、重要（7.0〜8.9）、緊急（9.0〜10.0）
脆弱性Tの情報が公開されると同時に、E-AFの脆弱性修正プログラム（以下、パッチという）が公開されていたが、Kリーダは、パッチを適用するには、通販システムの動作に影響がないことの確認が必要な上、もし何らかの影響がある場合、通販システムを修正するなど時間が掛かることになり、営業上大きな機会損失となることを懸念した。Kリーダは、パッチを適用するために通販システムを直ちに停止させるよりも、当面は稼働を継続させつつ、半月後の定期メンテナンス作業時に、影響の確認と必要な修正をできるだけ短時間に実施する方が望ましいと考えた。
【出典：情報処理安全確保支援士試験 平成30年度 秋期 午後1問3（一部、加工あり）】
