平成29年度 秋期 午前Ⅱ 問13

✓ これが正解アCVSS

解説

基本・現状・環境の3基準で脆弱性の深刻度を評価するのはCVSSです。

CVSS は、情報システムの脆弱性の深刻度を、共通の尺度で数値にして表す評価の仕組みです。出題当時の CVSS（v3）では、基本評価基準は脆弱性そのものの特性を、現状評価基準は攻撃コードの出回り具合や対策の有無など時間とともに変わる状況を、環境評価基準は利用者ごとの環境での影響を評価します。この三つの基準を組み合わせる点が、出題当時の CVSS の特徴です。ほかの選択肢は、組織の管理の仕組みや業界の基準です。

ほかの選択肢はなぜ違うのか

• イISMS：ISMS は、組織が情報セキュリティを管理するための仕組み全体を指します。個々の脆弱性の深刻度を三つの基準で数値化するものではなく、対象の範囲が異なります。
• ウPCI DSS：PCI DSS は、クレジットカード情報を扱う事業者が守るべきセキュリティの基準です。カード会員データの保護を求めるもので、脆弱性に深刻度を付ける評価の方法ではありません。
• エPMS：PMS は、個人情報を適切に扱うための管理の仕組みで、個人情報保護マネジメントシステムを指します。個々の弱点がどれほど深刻かを数値で表す尺度ではありません。