応用情報技術者検証可能なソフトウェア設計オリジナル・公式資料照合難易度
社内専用名のパッケージを使うCIが、公開・私設インデックスを同時に検索し、公開側の同名の高い版を選ぶ可能性がある。適切な改善はどれか。
A
SBOMへ依存名だけ記録すれば、CIの取得元を制限する必要はない
棚卸し情報は取得元の制御や成果物の検証を自動的に代行しない。
B
取得元を明示的に管理し、必要な版やハッシュも固定して意図した成果物を検証する★ 正解
名前と最新版だけでは正しい供給元を保証できない。依存関係の出所と実体を制御してdependency confusionに備える。
C
最新版の数値が大きいほど社内版と認定する
バージョン番号は発行者や信頼性の証明ではない。
D
社内名をrequirementsへ書いていれば、検索する公開インデックスは無条件に安全とする
同名の候補が別の取得元にある状況を排除できない。
解説
名前と最新版だけでは正しい供給元を保証できない。依存関係の出所と実体を制御してdependency confusionに備える。
根拠資料・確認情報
対応範囲：2026年度 応用情報技術者試験／シラバスVer.7.2・科目A/B表記
資料確認日：2026-11-02
アプリ内の初回回答データ
回答データを読み込んでいます。