令和6年度秋期 応用情報技術者試験 午前 問43

正解：エ

AI解説

SBOM(Software Bill of Materials、ソフトウェア部品表)とは、ソフトウェアを構成するコンポーネント(オープンソースのライブラリなど)とその依存関係、バージョンなどを一覧化したものであり、脆弱性が公表された際に影響範囲を迅速に特定するために利用される。よってエが正しい。 ア: セキュリティアラートやログを集約・分析し脅威を検知するシステムはSIEM(Security Information and Event Management)の説明であり、SBOMの説明ではない。 イ: 組織内のソフトウェアを含むIT資産をリスト化したデータベースはIT資産管理台帳やCMDB(構成管理データベース)の説明であり、SBOM固有の説明ではない。 ウ: 脆弱性や設定ミスを特定・評価・処理・報告するプロセスやツール・戦略は脆弱性管理(バルネラビリティマネジメント)の説明であり、SBOMそのものの説明ではない。 エ: ソフトウェアを構成するコンポーネントや依存関係を一覧化したものがSBOMであり、正しい。 💡 SBOMは『食品の原材料表示』に例えられることが多く、含まれる部品(ライブラリ)とその由来・バージョンを把握してサプライチェーンリスクに備える仕組みだと覚えるとよい。