脆弱性管理
情報セキュリティマネジメント試験｜技術的脆弱性を管理するプロセスとして、組織が継続的に行うべき活動の説明
技術的脆弱性を管理するプロセスとして、組織が継続的に行うべき活動の説明として最も適切なものはどれか。
ア脆弱性情報を継続的に収集・評価し、リスクに応じて修正や緩和策を適用していく。
イ脆弱性情報の収集は行わず、不具合が顕在化してから個別に対処すればよい。
ウ公開された脆弱性は影響度を問わず一律に即時適用すればよい。
エ利用中の資産をまったく把握しなくても、提供元からの通知を待てば十分に管理できる。
正解
ア．脆弱性情報を継続的に収集・評価し、リスクに応じて修正や緩和策を適用していく。
技術的脆弱性管理では、利用資産を把握したうえで脆弱性情報を継続的に収集・評価し、リスクの大きさに応じて優先順位を付け、修正(パッチ)や緩和策を適用していくことが求められる。
?選択肢ごとの解説
ア ○技術的脆弱性管理では、利用資産を把握したうえで脆弱性情報を継続的に収集・評価し、リスクの大きさに応じて優先順位を付け、修正(パッチ)や緩和策を適用していくことが求められる。
イ ×情報を収集せず事後対処のみでは被害を招きやすく、継続的管理を行う本問の適切な姿勢に反する。
ウ ×影響度を問わず一律即時適用は現実的でなく不具合の恐れもあり、リスクに応じ判断する本問の方針と異なる。
エ ×利用資産を把握しなければ自組織への影響を判断できず、資産把握を前提とする本問の管理と異なる。
この問題の「深掘り・誤答の完全解説・覚え方」は、登録すると読めます。
情報セキュリティマネジメント試験は全3,036問。公開しているのはその一部で、登録すると残りも一問ごとにAI解説つきで解けます。SRS暗記カード・全真模試・弱点診断まで。
登録は1分・クレジットカード不要。無料のまま練習・暗記カード・模試まで使えます。
作成・校閲：ukamiru編集部 · 情報セキュリティマネジメント試験 過去問 · sg-a2-w1-0017