情報セキュリティ
基本情報技術者試験｜D社の製品は多数のオープンソースライブラリを組み込んでいるが、どのバージョンの何を使っているかを正確に把握できて…
D社の製品は多数のオープンソースライブラリを組み込んでいるが、どのバージョンの何を使っているかを正確に把握できておらず、新たな深刻な脆弱性が公表されても自社製品が影響を受けるか即座に判断できない。この状況を改善する取組みとして、最も適切なものはどれか。
ア外部ライブラリへの依存を解消し、必要な機能を順次自社実装へ置き換えていく。
イ取り込んだライブラリのバージョンを固定し、以後の更新は適用しない運用とする。
ウ自社製品のソースコードを公開し、外部の有志に脆弱性の発見を委ねる。
エ製品を構成する全部品とその版数を機械可読な一覧にし、継続的に更新する。
正解
エ．製品を構成する全部品とその版数を機械可読な一覧にし、継続的に更新する。
問題の核心は『使用している部品とバージョンが把握できていない』ことである。SBOM（ソフトウェア部品表）で全構成要素とバージョンを一覧化・維持すれば、新たな脆弱性が公表された際に自社製品が該当部品を含むかを即座に照合でき、影響判断と対応を迅速化できる。
?選択肢ごとの解説
ア ×全機能の自社再開発は膨大なコストと時間を要し非現実的で、構成を把握するという本来の課題への直接的な対策でもない。
イ ×バージョンを固定し更新しない方針は、既知の脆弱性が放置され続けることを意味し、むしろリスクを増大させるため逆効果である。
ウ ×ソースコード公開は脆弱性発見の一手段ではあるが、構成把握ができていないという本件の課題を解決せず、論点がずれている。
エ ○問題の核心は『使用している部品とバージョンが把握できていない』ことである。SBOM（ソフトウェア部品表）で全構成要素とバージョンを一覧化・維持すれば、新たな脆弱性が公表された際に自社製品が該当部品を含むかを即座に照合でき、影響判断と対応を迅速化できる。
情報セキュリティの他の問題
L社は自社サービスの一部を外部の開発会社へ委託している。委託先の開発環境が侵害され、納品されるソフトウェアに不正なコードが混…E社の基幹システムに、重要なセキュリティ修正プログラムの提供が始まった。過去に修正プログラムを本番へ即時適用した際、既存機能…F社は脆弱性診断ツールによる網羅的な検査は定期実施しているが、検出された個々の弱点が実際に組み合わさって重要システムへの侵入…G社のWebアプリでは、内部で例外が発生すると、データベースのテーブル名やSQL文、サーバの内部パスを含む詳細なエラーメッセ…H社では、これまでシステム開発の最終工程で脆弱性診断を行い、見つかった問題を都度修正してきた。しかし手戻りが大きく、根本的な…I社が導入した管理用ソフトウェアには、出荷時から共通の管理者IDと初期パスワードが設定されており、管理画面が外部ネットワーク…J社では、機能テストでアプリを実際に動かしている間に、その内部の処理経路まで把握して脆弱性を高精度に検出したい。静的解析だけ…K社のWebアプリでは、利用者が自分の注文明細をURLのパラメタに含む注文番号で参照する。ある利用者が注文番号の数字を別の値…
この問題の「深掘り・誤答の完全解説・覚え方」は、登録すると読めます。
基本情報技術者試験は全4,036問。公開しているのはその一部で、登録すると残りも一問ごとにAI解説つきで解けます。SRS暗記カード・全真模試・弱点診断まで。
登録は1分・クレジットカード不要。無料のまま練習・暗記カード・模試まで使えます。
作成・校閲：ukamiru編集部 · 基本情報技術者試験 過去問 · fe-b-sec-0112