CompTIA Security+（SY0-701） 無料問題 3 / 10 ・ 分野2: 脅威、脆弱性、緩和策
制御システムの装置のメーカーがサポートを終了したが、代わりの新しい技術が無く、業務上その装置を使い続ける必要がある。NIST SP 800-53 の SA-22（サポートされないシステム構成要素）の考え方に沿う対応はどれか。
- メーカーのサポート契約が続いているものとみなし、パッチの提供が止まった状態を受け入れて監視を強める
- 独自パッチか外部提供者との契約で継続のサポートを用意し、公開網への接続禁止などでリスクを下げる
- サポートが切れた時点で置き換えを義務づけ、置き換えが難しい装置も運用を停止して退役させる
- 同じ型の新品を予備に調達して並べ、障害のたびに差し替える運用に切り替える
正解と解説を見る
正解: B
正解の理由
「独自パッチか外部提供者との契約で継続のサポートを用意し、公開網への接続禁止などでリスクを下げる」SA-22 は、開発者・供給元・製造元のサポートが終わった構成要素を置き換えるよう求める。例外として、代わりの技術が無い、または隔離されていて置き換えが現実的でない重要な業務の装置では、社内のサポートか、契約による外部提供者のサポートという代替の供給源を用意する。
違う選択肢
「サポートが切れた時点で置き換えを義務づけ、置き換えが難しい装置も運用を停止して退役させる」…SA-22 は、代わりの技術が無く重要な業務を支える場合を、置き換えの例外として認める。そのうえで、継続のサポートの選択肢を用意するよう求める。
「メーカーのサポート契約が続いているものとみなし、パッチの提供が止まった状態を受け入れて監視を強める」…サポートが提供されない構成要素には、社内の独自パッチか外部提供者との契約による継続のサポートを用意する。受け入れて監視を強める対応は、選択肢に含まれない。
「同じ型の新品を予備に調達して並べ、障害のたびに差し替える運用に切り替える」…同じ型が入手できないから代替の技術を使えない状況を扱うのが SA-22。予備機への差し替えは、サポートの継続にならない。
押さえどころ
解説は、サポートの終了を、パッチ、ファームウェア更新、交換部品、保守契約の終了と説明し、攻撃者が弱点を突く機会になるとする。リスクは、公開網や管理されていない網への接続禁止、その他の隔離で下げる例が挙げられている。