脆弱性管理、測定、評価を自動化するためにNISTが策定した基準はどれか。

情報処理安全確保支援士試験／2023年度秋期午前Ⅱ 問12／脆弱性管理 / 自動化

選択肢

アFIPS (Federal Information Processing Standards)
イSCAP (Security Content Automation Protocol)
ウSIEM (Security Information and Event Management)
エSOAR (Security Orchestration, Automation and Response)

正解と解説

正解：イ SCAP (Security Content Automation Protocol)

SCAPは、脆弱性や設定に関する情報を機械可読な形式で表現し、その管理・測定・評価を自動化するためにNISTが定めた仕様群である。脆弱性の識別子であるCVE、深刻度を数値化するCVSS、設定項目の識別子CCE、製品識別子CPEなどの標準を組み合わせて構成される。共通の識別子を用いることで、異なる製品間で脆弱性情報を突き合わせ、自動的に評価できる。

この問題を解く（同じ分野をあと8問） →

選択肢ごとの解説

ア米国の連邦情報処理標準の総称であり、脆弱性管理の自動化仕様ではない。
イ正解。脆弱性管理と評価を自動化するためにNISTが策定した仕様群である。
ウログを収集・相関分析する製品分野の名称であり、NISTの基準ではない。
エインシデント対応の自動化・連携を担う製品分野の名称である。

出典：令和5年度秋期情報処理安全確保支援士試験午前Ⅱ 問12（IPA）原本の紙面を見る（IPA 問題冊子より）

この問題に出た用語

同じ分野の他の問題

ソフトウェアの脆弱性管理のためのツールとしても利用されるSBOM(Software Bill of Materials)…2024年度春期午前Ⅱ 問17
JVNなどの脆弱性対策ポータルサイトで採用されているCWEはどれか。2024年度春期午前Ⅱ 問9
JVNなどの脆弱性対策情報ポータルサイトで採用されているCVE(Common Vulnerabilities and E…2021年度春期午前Ⅱ 問8
基本評価基準、現状評価基準、環境評価基準の三つの基準で情報システムの脆弱性の深刻度を評価するものはどれか。2019年度秋期午前Ⅱ 問9
JVNなどの脆弱性対策情報ポータルサイトで採用されているCVE(Common Vulnerabilities and E…2018年度秋期午前Ⅱ 問2

出典・参考

最終更新：2026-10-06／解説・選択肢ごとの解説は資格暗記が独自に作成しています。問題文と選択肢の出典は上記のとおりです。