特定された脆弱性の評価には、組織の固有の構成や状況を考慮した何が含まれていますか？
a. 攻撃者が実施する前の脆弱性スキャン
b. 脆弱性に対する優先順位付けと対応策の評価
c. 組織のフィジカルセキュリティの評価
d. インシデント発生時の対応計画の構築
正解：b
組織の固有の構成や状況に基づいて、特定された脆弱性の影響を評価し、それに優先順位をつけて対応策を評価することが含まれます。
他の選択肢が間違っている理由
a. 攻撃者が実施する前の脆弱性スキャンは関連性が低いため、正しくありません。
c. 組織のフィジカルセキュリティの評価は脆弱性に焦点を当てておらず、正しくありません。
d. インシデント発生時の対応計画の構築は脆弱性の評価には直接関連していないため、正しくありません。
あるシステムの脆弱性アセスメントを実施して脆弱性が特定された場合、その修正を行う前に評価する必要があります。多くの場合、脆弱性の修正にはコストがかかるからです。脆弱性の修正パッチを作成し、稼働しているシステムを止めて修正パッチを適用し、想定通りの効果（脆弱性がなくなり、それ以外動作に影響がないこと）をテストで確認し、システムを再稼働するなど多くのコストがかかります。
このため、その脆弱性が攻撃可能か、攻撃されたとしてビジネスに影響が出るのか、など組織の状況に照らして評価し、その脆弱性によるリスクへの対応を決定します。対応策としては、緩和策として修正することもあればリスクを受容して修正しないこともあり得ます。またリスクが非常に大きく、かつハードウェア起因などで修正ができない場合、システムを停止することでリスクを回避することも想定されます。
