令和元年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問9

解説

CVSS（Common Vulnerability Scoring System）は，情報システムの脆弱性の深刻度を，ベンダや製品に依存しない共通の基準で定量的に評価するための指標です。脆弱性そのものの技術的な特性を評価する“基本評価基準”，攻撃コードの出現状況など時間の経過に伴って変化する要素を評価する“現状評価基準”，製品の利用環境に応じた影響を評価する“環境評価基準”の三つの基準を用いて評価します。

選択肢ごとの解説

• ア正しい。基本評価基準，現状評価基準，環境評価基準の三つの基準で情報システムの脆弱性の深刻度を評価するのは CVSS です。
• イ誤り。ISMS（情報セキュリティマネジメントシステム）は，組織の情報セキュリティを管理するための仕組みであり，個々の脆弱性の深刻度を評価する指標ではありません。
• ウ誤り。PCI DSS は，クレジットカード情報を扱う事業者が満たすべきセキュリティ基準であり，脆弱性の深刻度を評価する指標ではありません。
• エ誤り。PMS（個人情報保護マネジメントシステム）は，個人情報の適切な取扱いを管理するための仕組みであり，脆弱性の深刻度を評価する指標ではありません。