令和5年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問12
テクノロジ／セキュリティ脆弱性管理，測定，評価を自動化するために NIST が策定した基準はどれか。
出典：令和5年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問12
- アFIPS（Federal Information Processing Standards）
- イSCAP（Security Content Automation Protocol）
- ウSIEM（Security Information and Event Management）
- エSOAR（Security Orchestration, Automation and Response）
正解：イ
解説
SCAP は，NIST が策定した，脆弱性やセキュリティ設定に関する情報の記述形式と評価手順を標準化した仕様群です。CVE（脆弱性識別子），CVSS（深刻度評価），CCE（設定項目識別子），CPE（製品識別子），XCCDF，OVAL などから構成され，脆弱性管理，測定，評価の自動化を可能にします。
選択肢ごとの解説
- ア誤り。FIPS は米国連邦政府機関が用いる情報処理に関する標準規格の総称で，暗号モジュールの要件などを定めています。
- イ正しい。SCAP は，脆弱性管理，測定，評価を自動化するために NIST が策定した基準（仕様群）です。
- ウ誤り。SIEM は各種機器のログを集約して相関分析し，セキュリティイベントを検知する仕組みです。
- エ誤り。SOAR はインシデント対応の運用手順を自動化・省力化する仕組みです。