脆弱性管理（SCA、SBOMほか）
更新日:
用語解説
脆弱性管理（SCA、SBOMほか）は、組織の資産とソフトウェアの構成を把握し、脆弱性を見つけて評価し、修正などの対応を期限を決めて管理する継続的な活動です。
■ 試験で押さえるポイント
SCAは、アプリケーションが使うオープンソースなどの部品を解析し、既知の脆弱性を見つけます。
SBOMは、ソフトウェアを構成する部品とバージョンの一覧（部品表）です。
CVSSの値だけでなく、実際に悪用されているか、外部から届くか、資産の重要度で優先順位を決めます。
■ 過去問での着眼点
SBOMは部品表で、それ自体が脆弱性を直すわけではありません。発見から修正の確認までを管理します。
例: SBOMから、脆弱性のあるライブラリを使うシステムを特定し、外部に公開しているものから先に更新します。
■ 識別・深刻度・悪用予測と修正確認
CVEは個別の脆弱性の識別子、CWEは弱点の種類、CVSSは技術的深刻度、EPSSは今後30日以内に実環境で悪用される確率の推定、KEVは悪用が確認された脆弱性の一覧である。数値や掲載の意味を混同しない。
優先度は、自組織のバージョン・機能・到達可能性、悪用状況、業務影響を合わせて決める。EPSSが低いことやKEVに未掲載であることだけで安全とは判定しない。
SBOMは依存部品を把握する材料だが、実際に配備された成果物と対応付ける必要がある。直接依存だけでなく推移的依存も確認し、修正版をビルドした後、対象環境の更新と動作・再検査まで記録する。
すぐに更新できない場合は公開制限、機能停止、検査ルール等の暫定策と期限を定める。暫定策が脆弱な処理へ届く全経路に効くか確認し、恒久修正を追跡する。