正解：ア
各選択肢の解説
ア各機器で使っているソフトウェアとバージョンを一覧にし、公表された脆弱性情報と突き合わせる。
正解。脆弱性情報は「どの製品のどのバージョンが該当するか」で書かれています。 手元の機器とバージョンの一覧があれば、該当する機器をすぐに特定して適用に移れます。
イ確認する情報源を増やし、海外のセキュリティニュースサイトも毎日読むようにする。
誤り。情報源を増やすのは、情報を集める段階の改善です。収集が大事なのは確かなので 選びがちですが、この部門の詰まりは集めた情報を自分たちの機器に当てはめる段階にあり、 量を増やすと突き合わせの手間がかえって増えます。
ウ該当しそうな脆弱性情報を部門の全員に転送し、自分のPCが該当するか各自で判断させる。
誤り。判断を利用者に任せると、バージョンの確認方法が分からない人や後回しにする人が出て、 対応の漏れと遅れが残ります。担当者の負担は減って見えますが、脆弱性管理は 組織として該当機器を把握し、確実に適用まで追う仕組みにする必要があります。
エ外部の事業者に脆弱性診断を年に1回委託し、その結果をもとに修正プログラムを適用する。
誤り。脆弱性診断は、その時点のシステムの弱点を洗い出す検査です。脆弱性の発見に 役立つので近く見えますが、年1回では日々公表される脆弱性への対応が最大で1年近く遅れ、 公表のたびに該当を判断するという課題は解決しません。
理解を深めるために
集めた情報は「手元の一覧」と照らして初めて使える
リコール情報をニュースで毎日見ていても、自分の家にある家電の型番を知らなければ、 対象かどうかは分かりません。脆弱性情報も同じで、JVNなどの公表内容は 「製品名とバージョン」で該当範囲が書かれています。自部門の機器で何がどの版で動いているかの一覧が、 情報を行動に変える鍵になります。
脆弱性管理の流れ
脆弱性管理は、次の流れを繰り返す活動です。
- 脆弱性情報を収集する（JVN、製品開発者の公表、公的機関の注意喚起など）
- 自部門のどの機器が該当するかを特定する
- 深刻度や悪用状況から優先度を決める
- 修正プログラム（セキュリティパッチ）を適用し、OSやソフトウェアを更新する
- 適用できたかを確認する
この部門は1を毎日やっているのに、2で止まっています。そのため、改善すべきは2を速くする仕組みです。 ソフトウェアとバージョンの一覧（台帳）を最新に保てば、情報を見た時点で該当機器が分かり、 3以降にすぐ進めます。
混同しやすいものとの違い
| 対策 | 流れのどこを改善するか | この場面で効くか |
|---|---|---|
| ソフトウェアとバージョンの一覧と突き合わせ | 2. 該当機器の特定 | 効く（詰まっている段階） |
| 情報源を増やす | 1. 収集 | 効かない（収集はできている） |
| 利用者に判断を任せる | 2を個人に移す | 漏れと遅れが残る |
| 年1回の脆弱性診断 | 定期的な弱点の洗い出し | 日々の公表には間に合わない |
試験では、場面の担当者が流れのどの段階で止まっているかを読み取り、その段階を直す対策を選びます。