セキュアなシステム開発・品質管理
自社製品が利用しているOSSライブラリに新たな深刻な脆弱性（CVE）が公表された。開発部門がまず行うべき対応として最も適切なものはどれか。
- A公表された脆弱性情報の詳細を待たずにライブラリのバージョンをすべて最新にする
- BOSSの利用を禁止し、すべて自社開発のコードに置き換える
- C顧客からの問い合わせがあるまで様子を見る
- ✓SBOM（ソフトウェア部品表）を用いて該当ライブラリの使用箇所とバージョンを特定し、影響範囲を評価する
解説
脆弱性対応の第一歩は影響範囲の特定である。SBOMを用いて自社製品内の使用箇所とバージョンを洗い出し、リスクを評価したうえでパッチ適用計画を立てるのが適切である。
根拠シラバス「システム調達（製品・サービスのセキュアな導入を含む）、システム開発（セキュリティ機能の実装を含む）を、セキュリティの観点から推進又は支援する」