【問306】個人情報保護士 練習問題｜脆弱性スキャン実施
情報セキュリティ 問126/130難易度B（標準）
問題文
組織のシステムに対する脆弱性スキャンの実施と管理に関して、最も適切な説明はどれか。
- 1.本番システムへの脆弱性スキャンは、負荷が大きいため避けるべきである。
- 2.脆弱性スキャンはセキュリティ部門のみが行い、開発部門の関与は不要である。
- 3.定期的にスキャンを実施し、発見した脆弱性を優先度付けして対策する。
- 4.外部のペネトレーションテストさえあれば、脆弱性スキャンは不要である。
解説
正解
正解は選択肢3です。
各選択肢の解説
選択肢1 → ❌誤り
負荷への配慮は必要だが、実際に攻撃にさらされるのは本番環境であり除外はできない。夜間帯の実施や低負荷モードの利用で両立させる。
選択肢2 → ❌誤り
検出された脆弱性の修正やバージョン更新を担うのは開発・運用部門である。連携がなければ発見だけで終わり、リスクは下がらない。
選択肢3 → ✅正解
ISO/IEC 27002:2022の8.8(技術的ぜい弱性の管理)は、脆弱性の体系的な識別・優先順位付け・適時の是正を求めている。優先度付けにより限られた要員と時間を効率配分できる。
選択肢4 → ❌誤り
ペネトレーションテストは狭く深く侵入可否を検証するもの、スキャンは広く網羅的に既知の欠陥を洗い出すもので、役割が異なり互いの代替にはならない。
背景知識
脆弱性スキャンは既知の欠陥を自動検出するツールである。定期実施により未対応の脆弱性が放置されるのを防ぎ、個人情報漏えいのリスク低減につながる。ISO/IEC 27002:2022では8.8「技術的ぜい弱性の管理」として位置づけられている。
学習アドバイス
脆弱性スキャンは検出後の対策が最も重要。発見されたものを放置すれば意味がない。優先度付け・対策・再スキャンという継続プロセスとして理解しておく。
まとめ
- 脆弱性スキャンはシステムの既知の欠陥を事前検出する
- 定期実施と優先度付けされた是正が求められる
- セキュリティ・開発・運用の連携で効果が最大化される