中小企業診断士 過去問｜経営情報システム 第20問

解説

本問は、中小企業診断協会が令和6年9月3日に「問題として不適切であることが分かりました」と発表し、すべての受験者の解答を正解として扱った問題である（「令和6年度中小企業診断士第1次試験における正解の訂正について」）。本サイトでは、出題趣旨に即した解答であるエを正解として登録している。 a：CC（Common Criteria／ISO/IEC 15408）は、IT製品・システムのセキュリティ機能を第三者が評価・認証するための国際基準である。組織内での情報の取り扱いについて機密性・完全性・可用性を確保するための仕組みはISMS（情報セキュリティマネジメントシステム）の説明であり、aは誤り。 b：CSIRTは、セキュリティインシデントが発生したときに原因の調査・対処・再発防止や関係者との連絡調整を行う組織である。24時間365日体制でネットワークやデバイスを監視してインシデントを検出するのはSOC（Security Operation Center）の説明であり、bは誤り。 c：CVEは、個別製品の脆弱性に「CVE-西暦-連番」の形式で固有の識別番号を付けたカタログで、出題趣旨ではcは正しい。 d：CVSSは、脆弱性の深刻度を基本評価基準・現状評価基準・環境評価基準の3つの基準で評価する枠組みで、出題趣旨ではdは正しい。 よって出題趣旨に即した組み合わせは「a：誤、b：誤、c：正、d：正」のエ。 【不適切とされた理由】協会は理由を公表していないが、c・dの記述には次の難点がある。c：CVEが番号を付ける対象は脆弱性であり、インシデント（攻撃や被害の事案）には番号を付けないため、「脆弱性やインシデント」とするcは誤りとも読める（cを誤とすると組み合わせはオになる）。d：基本・現状・環境の3つの基準はCVSS v2・v3の構成で、試験前年の2023年11月に公開されたCVSS v4.0では、基本評価基準・脅威評価基準・環境評価基準・補足評価基準の4つに改められている。版を示していないdは誤りとも読め、dを誤とすると「a：誤、b：誤、c：正、d：誤」に当たる選択肢はない。このように読み方によって正解が変わる、または正解がなくなるため、全員正解の扱いになったと考えられる。（出典: 一般社団法人 中小企業診断協会 令和6年度 中小企業診断士1次試験 経営情報システム 第19問）