LPI Security Essentials 無料問題 2 / 10 ・ 分野1: Security Concepts
同じ脆弱性が公開Webサーバーと停止中の隔離検証機に見つかった。修正の優先度を決める際、脆弱性の深刻度に追加すべき情報はどれか。 最も適切なものを1つ選んでください。
- 修正版が公開された日付の順序
- 外部への露出状況と業務への影響
- 脆弱性の情報が報道された回数
- 機器を購入したときの価格
正解と解説を見る
正解: B
正解の理由
NIST SP 800-30 はリスクを、事象が起きたときの悪影響と、その事象が発生する可能性との関数として示している。脆弱性の深刻度は弱点そのものの重さだが、同じ脆弱性でも、外部から到達できる公開Webサーバーは悪用される可能性が高く、停止中で隔離された検証機は低い。そのサーバーが止まったときの業務への影響も加えて比べることで、修正の優先度を決められる。
違う選択肢
「修正版が公開された日付の順序」… 修正版の公開日は、修正を入手できる時期を示すが、それぞれの機器で悪用される可能性や、被害が出たときの影響の大きさは表さない。日付の順に直すと、外部に露出した機器が後回しになることがある。
「脆弱性の情報が報道された回数」… 報道の多さは注目度を示すだけで、自社の機器が外部から到達できるか、止まると何が起きるかは分からない。リスクの二つの要素である発生の可能性と影響のどちらにも直接は対応しない。
「機器を購入したときの価格」… 購入価格は資産の取得費用であり、その機器が保持する情報や、止まったときの業務の損失と一致するとは限らない。安価な機器でも重要な業務を支えていることがある。
押さえどころ
深刻度の評価値は優先度を決める材料の一つである。資産の用途、外部からの到達可能性、保持するデータを一覧にしておくと、同じ脆弱性が複数の機器で見つかったときの順位付けが速くなる。