応用情報技術者 2024年 秋期 午前2 問43
問題文
ソフトウェアのセキュリティ管理に使用される SBOM はどれか。
選択肢
ア：セキュリティアラートやログを集約、 分析し、 潜在的な脅威を見つけるシステム
イ：組織内にあるソフトウェアを含む IT資産をリスト化したデータベース
ウ：組織のソフトウェアのセキュリティ脆弱性と設定ミスを特定、 評価、 処理、報告するためのプロセス、 ツール、戦略
エ：ソフトウェアを構成するコンポーネント、 相互の依存関係などをリスト化した一覧（正解）
ソフトウェアのセキュリティ管理に使用される SBOM はどれか【午前2 解説】
要点まとめ
- 結論：SBOMはソフトウェアの構成要素や依存関係を一覧化した文書であり、セキュリティ管理に不可欠です。
- 根拠：SBOMはソフトウェアの部品情報を明示し、脆弱性の特定や影響範囲の把握を容易にします。
- 差がつくポイント：SBOMは単なる資産管理や脆弱性スキャンではなく、ソフトウェアの内部構造を詳細に示す点が特徴です。
正解の理由
選択肢エは「ソフトウェアを構成するコンポーネントや相互の依存関係をリスト化した一覧」とあり、これはSBOM（Software Bill of Materials）の定義に合致します。SBOMはソフトウェアの部品表として、どのライブラリやモジュールが使われているかを明示し、脆弱性管理やライセンス遵守に役立ちます。
よくある誤解
SBOMは単なるIT資産管理やログ分析ツールではありません。ソフトウェアの内部構成を詳細に示す文書であり、脆弱性評価や監視とは役割が異なります。
解法ステップ
- 問題文の「SBOM」が何の略かを確認する（Software Bill of Materials）。
- SBOMの役割を理解する（ソフトウェアの部品表）。
- 選択肢の説明とSBOMの定義を照合する。
- ソフトウェアの構成要素や依存関係を示す選択肢を選ぶ。
選択肢別の誤答解説
- ア：セキュリティアラートやログの集約・分析はSIEMなどの役割であり、SBOMとは異なります。
- イ：IT資産のリスト化は資産管理データベース（CMDB）に近く、SBOMの範囲外です。
- ウ：脆弱性の特定や評価は脆弱性管理プロセスやツールの役割で、SBOM自体ではありません。
- エ：ソフトウェアの構成要素と依存関係をリスト化したもので、SBOMの正しい説明です。
補足コラム
SBOMは近年、サプライチェーン攻撃対策として注目されています。ソフトウェアの部品情報を明確にすることで、脆弱性のあるコンポーネントを迅速に特定し、対応が可能になります。米国政府もSBOMの利用を推奨しており、今後ますます重要性が高まる分野です。
FAQ
Q: SBOMはどのように作成されますか？
A: ソフトウェア開発時に使用するライブラリやモジュールの情報を自動ツールで抽出し、一覧化します。
A: ソフトウェア開発時に使用するライブラリやモジュールの情報を自動ツールで抽出し、一覧化します。
Q: SBOMと脆弱性スキャンの違いは何ですか？
A: SBOMはソフトウェアの部品表であり、脆弱性スキャンはその部品に潜む脆弱性を検出するプロセスです。
A: SBOMはソフトウェアの部品表であり、脆弱性スキャンはその部品に潜む脆弱性を検出するプロセスです。
関連キーワード: SBOM, ソフトウェア構成管理、セキュリティ脆弱性、サプライチェーン攻撃、ソフトウェア部品表
\ せっかくなら /
応用情報技術者を
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！