脆弱性管理（SCA、SBOMほか）
更新日:
用語解説
脆弱性管理は、組織の資産とソフトウェア構成を継続的に把握し、脆弱性を発見・評価して、修正、緩和、受容などの対応を期限付きで管理する一連の活動です。
■ 試験で押さえるポイント
資産台帳やソフトウェア構成を整備し、脆弱性診断、ベンダ情報、JVNやCVEなどから対象となる脆弱性を特定します。
SCA（Software Composition Analysis）は、アプリケーションが利用するOSSなどの部品と依存関係を解析し、既知の脆弱性やライセンス上の問題を検出します。
SBOM（Software Bill of Materials）は、製品を構成するソフトウェア部品、バージョン、依存関係などを示す部品表です。脆弱性を自動的に修正する仕組みではありません。
CVSS値だけでなく、実際に悪用されているか、外部から到達可能か、資産の重要度、緩和策の有無を考慮して優先順位を決めます。
修正後は再検査し、例外やリスク受容には承認、期限、代替策を設定します。発見件数だけでなく、期限内の是正状況を追跡します。
■ 過去問での着眼点
脆弱性管理は、発見だけでなく、資産との対応付け、優先順位付け、是正、再確認までを継続的に行います。SCAはソフトウェア部品を解析する手段、SBOMは構成部品を示す情報であり、脆弱性管理全体と同一ではありません。SBOMはソフトウェアの部品表であり、それ自体が修正を行うものではありません。
例: SBOMから影響を受けるライブラリを使うシステムを特定し、外部公開中で実際の悪用が確認されたものを優先して更新し、再検査します。