自社の会員向けWebサイトの脆弱性診断で指摘された脆弱性について、開発部門から 「すべて修正した」と報告があった。情報セキュリティ担当者が次に行うこととして、 最も適切なものはどれか。

正解：ア

各選択肢の解説

1. ア指摘された項目について再度診断を行い、修正が有効かを確かめる。

   正解。修正したという報告だけでは、本当に直ったか、修正で別の不具合が 生じていないかは分かりません。指摘された項目を同じ観点で診断し直して 確かめることで、対応を締めくくれます。

2. イペネトレーションテストを依頼し、侵入できないことを証明してもらう。

   誤り。ペネトレーションテストは、決めたシナリオで侵入できるかを確かめる検査です。 個々の指摘が直ったかを確かめる目的には合わず、侵入できなかったとしても 脆弱性が無いことの証明にはなりません。

3. ウ指摘された脆弱性のCVSSの基本評価の値が下がったことを確かめる。

   誤り。CVSSの基本評価は脆弱性そのものの特性を表す値で、自社で修正しても 値は変わりません。CVSSは「どれだけ深刻か」を表すもので、「直ったか」を 確かめる手段ではありません。

4. エJVNに、自社サイトの脆弱性が修正済みとして掲載されたかを確かめる。

   誤り。JVNは、主にソフトウェア製品の脆弱性情報と対策情報を公表するポータルです。 自社で運営するWebサイトの診断結果が、修正済みとして掲載される場では ありません。修正の確認は自社の側で行います。

理解を深めるために