CVSS・脆弱性診断・ペネトレーションテスト

イントロ

似た言葉を目的で分ける

基本情報技術者試験で扱う「CVSS・脆弱性診断・ペネトレーションテスト」を、IT知識なしでも意味と使いどころから学べるように整理します。まず目的をつかみ、似た言葉や条件の違いを短く見分けます。

定義

教科書では: 「CVSS・脆弱性診断・ペネトレーションテスト」は、ISO/IEC 15408やCVSSなどを目的・対象・使う場面で見分けるテーマです。
言いかえると: はじめて学ぶときは、用語名より「何を守る・測る・決める話か」を先に見ます。ここでは代表用語と簡単な適用判断に絞り、詳細な実装や長い応用問題へ広げすぎません。

比較

観点目的

観点対象

観点問題文

CVSS・脆弱性診断・ペネトレーションテストは、似た語を丸暗記するより、目的・対象・条件を同じ観点で並べると選びやすくなります。

例

場面: CVSSで脆弱性の深刻度を見て、修正優先度を決める例
順に考えると: まずISO/IEC 15408が何を表すかを確認します。次にCVSSとの違いを、問題文の対象・条件・順序から分けます。ここでは評価基準、診断、侵入を試すテストの違いを見る。
ここが結論: この例では、評価基準、診断、侵入を試すテストの違いを見ることが要点です。答えを選ぶときは、ペネトレーションテストをすれば安全性が完全に証明されると思うという読み違いを避けます。

注意

確認

Q1

CVSS・脆弱性診断・ペネトレーションテストを問題で読むとき、最も適切な見方はどれですか。

まとめ