CompTIA Security+（SY0-701） 無料問題 7 / 10 ・ 分野4: セキュリティ運用
脆弱性スキャンの計画書に、スキャンの網羅の度合いを書く。NIST SP 800-53 の RA-5 (3)（カバー範囲の広さと深さ）の説明として正しいのはどれか。
- 広さは監視する設計の水準（構成要素・モジュールなど）で、深さはシステムの構成要素のうち走査する割合で表す
- 広さは構成要素の割合などで、深さは監視する設計の水準（構成要素・モジュール・サブシステムなど）で表す
- 広さはスキャンの実行頻度で、深さは検出した脆弱性の重要度の段階（高・中・低など）で表す
- 広さは走査に使う帯域の大きさで、深さは同時に走査する接続の数で表す設定とする
正解と解説を見る
正解: B
正解の理由
「広さは構成要素の割合などで、深さは監視する設計の水準（構成要素・モジュール・サブシステムなど）で表す」RA-5 (3) は、脆弱性スキャンのカバー範囲の広さと深さを定義するよう求める。議論は、広さを、構成要素の割合、システムの種類、重要度、チェックする脆弱性の数などで表すものとし、深さを、組織が監視しようとするシステム設計の水準（構成要素、モジュール、サブシステム、要素など）で表すものと説明する。
違う選択肢
「広さは監視する設計の水準（構成要素・モジュールなど）で、深さはシステムの構成要素のうち走査する割合で表す」…広さと深さの割り当てが入れ替わっている。広さは構成要素の割合などで、深さは設計のどの水準まで見るかで表す。
「広さはスキャンの実行頻度で、深さは検出した脆弱性の重要度の段階（高・中・低など）で表す」…実行頻度や重要度の段階は、RA-5 (3) が広さ・深さの表し方として挙げるものではない。頻度は別の項目で定める。
「広さは走査に使う帯域の大きさで、深さは同時に走査する接続の数で表す設定とする」…帯域や接続数は走査の負荷に関わる設定で、カバー範囲の広さと深さの表し方ではない。
押さえどころ
広さは「どれだけの対象を見るか」、深さは「どこまで細かく見るか」の軸。範囲を定義しておくと、スキャン結果から何が確かめられ、何が確かめられていないかを説明できる。