脆弱性対応は深刻度評価とリスクベースの優先順位付けに基づく。修正プログラムは検証のうえで計画的に適用するとは？

脆弱性情報はJVNなどの公的な脆弱性情報提供の枠組みで公表され、CVSSなどの指標で深刻度が示される。組織はこれらを踏まえ、影響を受ける資産の特定と対応の優先順位付けを行う。 ▍なぜ正解 脆弱性対応では、公表された情報とCVSSなどによる深刻度評価、自社での利用状況、攻撃の実現可能性を踏まえてリスクベースで優先順位を判断し、修正プログラムの適用や回避策を計画的に実施することが求められる。 ▍よくある間違い 深刻度を考慮せず一律に即時停止・未検証適用する、又は被害が出るまで対応を先送りする。 ▍試験の狙い 脆弱性対応は「深刻度評価→優先順位付け→検証のうえで計画的に適用」の順で考える。