令和3年度 秋期 応用情報技術者 問41

正解 ア

基本評価基準、現状評価基準、環境評価基準の三つで脆弱性の深刻度を評価するのはCVSSです。

CVSS（Common Vulnerability Scoring System）は、情報システムの脆弱性の深刻度を、ベンダーに依存しない共通の方法で数値化する評価手法です。基本評価基準は、脆弱性そのものの特性を評価します。現状評価基準は、攻撃コードの有無や対策情報の状況など、時間とともに変わる要素を評価します。環境評価基準は、利用者の環境に応じた影響を評価します。問題文の「三つの基準」と「脆弱性の深刻度」が決め手です。

イ：ISMS（Information Security Management System）は、組織が情報セキュリティを管理するための仕組みです。脆弱性の深刻度を評価する基準ではありません。

ウ：PCI DSS（Payment Card Industry Data Security Standard）は、クレジットカード情報を安全に扱うためのセキュリティ基準です。

エ：PMS（Personal information protection Management System）は、個人情報保護マネジメントシステムです。JIS Q 15001に基づく個人情報の管理の仕組みを指します。

出典：令和3年度 秋期 応用情報技術者試験 問41