解説

SCAP（Security Content Automation Protocol）はNIST（米国立標準技術研究所）が策定した「脆弱性管理・測定・評価を自動化するためのプロトコル群（標準）」（b：正解）。SCAPは複数のコンポーネント標準から構成され、代表的なものとして：CVE（共通脆弱性識別子）、CVSS（共通脆弱性評価システム）、CWE（共通脆弱性タイプ一覧）、XCCDF（セキュリティ設定チェックリスト記述形式）、OVAL（脆弱性評価言語）などがある。これらを組み合わせることで、脆弱性スキャナーやセキュリティ管理ツールが標準化された方法で自動的に脆弱性を検出・評価できるようになる。日本のIPAもSCAPに準拠した脆弱性対策情報データベース（JVN iPedia）を運用している。

なぜ他の選択肢は違うのか

選択肢 ア

FIPS（Federal Information Processing Standards）は米国の連邦政府機関が使用すべき情報処理・暗号化に関する標準規格群（例：FIPS 140-2は暗号モジュールのセキュリティ要件）。脆弱性管理の自動化を目的とした規格ではなく、情報処理の標準化のための規格群である。

選択肢 ウ

SIEM（Security Information and Event Management）はログ・イベントを一元収集・分析してセキュリティインシデントをリアルタイムに検知する技術・製品カテゴリであり、NISTが策定した脆弱性管理自動化のプロトコルではなく実装製品の分類概念である。

選択肢 エ

SOAR（Security Orchestration, Automation and Response）はセキュリティ運用の自動化・インシデント対応ワークフローの調整を行うプラットフォームカテゴリ。SIEMと連携してアラート対応を自動化するが、脆弱性管理プロトコルを定義したNIST標準ではない。

解くときのポイント

SCAPの構成要素: CVE（脆弱性識別子）・CVSS（深刻度評価）・CPE（製品識別）・CWE（弱点分類）・OVAL（システム状態記述）・XCCDF（チェックリスト）。NVD（National Vulnerability Database）と合わせて覚える。