情報処理安全確保支援士試験 令和7年度 秋期 午前II 問12

【正解】ア

MITREは、米国の非営利組織であり、サイバーセキュリティ分野ではCVEの運営に関わるほか、MITRE ATT&CKを公開しています。CVEは、公開された脆弱性を「CVE-年-番号」という共通識別子で管理し、製品ベンダーやセキュリティ機関の間で同じ脆弱性を正確に参照できるようにする仕組みです。MITRE ATT&CKは、攻撃者が目的を達成するために用いる戦術や技術を、実際の観測事例に基づいて体系化したナレッジベースです。したがって、これらを挙げたアが正解です。

イのフレームワーク、ガイドライン及び技術仕様を発行する組織はMITREではありません。これは米国国立標準技術研究所であるNISTの説明であり、NIST Cybersecurity FrameworkやSP 800シリーズなどを公開しています。

ウのEU加盟国のサイバーセキュリティ向上を支援する組織はMITREではありません。これは欧州連合サイバーセキュリティ機関であるENISAの説明です。

エの日本国内の情報セキュリティインシデントを受け付け、技術的な対応支援を行う組織はMITREではありません。これは日本の代表的なCSIRTであるJPCERT/CCの説明です。

【ポイント】 MITREは「CVE」と「ATT&CK」を結び付けて覚えます。 NISTは標準・ガイドライン、ENISAはEU、JPCERT/CCは日本のインシデント対応という対応関係も整理しておきましょう。