応用情報技術者試験 令和6年度 秋期 午前 問43

【正解】エ

SBOMはSoftware Bill of Materialsの略で、日本語では「ソフトウェア部品表」と呼ばれます。対象ソフトウェアに含まれるOSSやライブラリなどのコンポーネント、そのバージョン、供給元、コンポーネント間の依存関係などを一覧にしたものです。利用中の部品が明確になるため、新たな脆弱性が公表されたときに、自社のソフトウェアが影響を受けるかを迅速に確認できます。したがってエが正解です。

アのアラートやログを集約して脅威を発見するシステムは誤りです。これはSIEMの説明です。SIEMはネットワーク機器やサーバなどのログを横断的に分析し、不審な事象を検知します。

イの組織内のIT資産をリスト化したデータベースは誤りです。これはIT資産管理台帳やCMDBに相当します。組織が保有する端末、サーバ、ソフトウェアなどを管理しますが、個々のソフトウェア内部の構成部品を表すSBOMとは対象の粒度が異なります。

ウの脆弱性と設定ミスを特定、評価、処理、報告する取組は誤りです。これは脆弱性管理の説明です。SBOMは脆弱性管理で活用される情報源の一つですが、評価や修正までを含むプロセスそのものではありません。

【ポイント】 SBOMは、完成品ソフトウェアの中に「何が入っているか」を追跡するための部品表です。 部品名やバージョンをCVEなどの脆弱性情報と照合することで、影響範囲の特定や修正版への更新を効率化できます。