問題
情報セキュリティ管理に関する記述の正誤の組み合わせとして、最も適切なものを下記の解答群から選べ。
a CC（Common Criteria）とは、組織内での情報の取り扱いについて、機密性・完全性・可用性を確保するための仕組みのことである。
b CSIRT（Computer Security Incident Response Team）とは、24時間365日体制で企業のネットワークやデバイスを監視し、インシデントの検出を行う組織のことである。
c CVE（Common Vulnerabilities and Exposures）とは、情報セキュリティにおける脆弱性やインシデントに付与された固有の名称や番号のカタログのことである。
d CVSS（Common Vulnerability Scoring System）とは、情報システムの脆弱性の深刻度を、基本評価基準、現状評価基準、環境評価基準の3つの基準で評価する枠組みのことである。
選択肢
- 1a：正 b：正 c：正 d：誤
- 2a：正 b：正 c：誤 d：誤
- 3a：正 b：誤 c：正 d：正
- 4a：誤 b：誤 c：正 d：正
- 5a：誤 b：誤 c：誤 d：正
正解
4. a：誤 b：誤 c：正 d：正
詳しい解説を見る解説を閉じる
解説
本問は協会発表により「すべての受験者の解答を正解として扱う」とされた問題（令和6年9月3日）。出題趣旨に即して解説する。a：CC（Common Criteria／ISO/IEC 15408）はIT製品・システムのセキュリティ機能を第三者評価するための国際基準であり、組織内情報管理の枠組み（CIA）はISMSの説明のためaは誤り。b：CSIRTはセキュリティインシデント発生時の対応組織であり、24時間監視を行うのはSOC（Security Operation Center）のためbは誤り。c：CVEは脆弱性に「CVE-YYYY-NNNN」形式の固有番号を付与して識別するカタログでcは正しい。d：CVSSは脆弱性の深刻度を基本評価基準・現状評価基準・環境評価基準の3つで定量評価する仕組みでdは正しい。よって出題趣旨に即した正解はエ。（出典: 一般社団法人 中小企業診断協会 令和6年度 中小企業診断士1次試験 経営情報システム 第19問）
中小企業診断士トップ
一問一答・予想問題・まとめノート