説明
正解はB. 敵対者エミュレーションです。
敵対者エミュレーションとは、特定の脅威アクターまたはグループの戦術、技術、手順 (TTP) を模倣して、組織のセキュリティ制御とインシデント対応機能の有効性をテストする手法です1。敵対者エミュレーションは、組織のセキュリティ体制のギャップと弱点を特定して対処するとともに、セキュリティ チームの準備とスキルを向上させるのに役立ちます。
敵対者エミュレーションは、脅威アクターがネットワーク内で検出されないままの期間である滞在時間を測定するのにも役立ちます2。
その他のオプションは、CISO の目標を満たす最適な手法ではありません。脆弱性スキャン (A) は、ネットワークとシステムをスキャンして既知の脆弱性を探す手法ですが、実際の攻撃をシミュレートしたり、インシデント対応機能をテストしたりすることはありません。パッシブ検出は、パケットやプローブを送信せずにネットワークとシステムに関する情報を収集する手法ですが、脆弱性を特定または悪用したり、セキュリティ制御をテストしたりすることはありません。バグ報奨金 (D) は、組織のシステムまたはアプリケーションの脆弱性を見つけて報告した外部の研究者またはハッカーに報酬を与えるプログラムですが、特定の脅威アクターまたはグループに焦点を当てるものではありません。

正解はB. メトリクスです。
脆弱性レポートのメトリック セクションには、エクスプロイトが成功した場合のデータ機密性への影響レベルに関する情報が提供されます。メトリック セクションには、脆弱性の CVE 辞書エントリと CVSS ベース スコアが含まれます。CVE は Common Vulnerabilities and Exposures の略で、脆弱性を識別して命名するための標準化されたシステムです。CVSS は Common Vulnerability Scoring System の略で、脆弱性の重大度を測定および評価するための標準化されたシステムです。
CVSS ベース スコアは、脆弱性の悪用可能性、影響、範囲などの固有の特性を表す 0 ～ 10 の数値です。CVSS ベース スコアは、ベース、時間、環境の 3 つのメトリック グループで構成されます。ベース メトリック グループは、時間の経過やユーザー環境全体で一定である脆弱性の特性を捉えます。ベース メトリック グループは、攻撃ベクトル、攻撃の複雑さ、必要な権限、ユーザー操作、範囲、影響の 6 つのメトリックで構成されます。影響メトリックは、影響を受けるリソースの機密性、整合性、可用性に対する脆弱性の影響を測定します。
この場合、脆弱性の CVSS ベース スコアは 9.8 であり、これは重大な重大度レベルを示しています。CVSS ベース スコアの影響メトリックは 6.0 であり、これは機密性、整合性、および可用性に大きな影響があることを示しています。したがって、メトリック セクションでは、エクスプロイトが成功した場合のデータ機密性への影響レベルに関する情報が提供されます。
脆弱性レポートの他のセクションでは、攻撃が成功した場合のデータ機密性への影響レベルに関する情報は提供されません。ペイロード セクションには、脆弱性の悪用方法を示す要求ペイロードと応答ペイロードへのリンクが含まれています。ペイロード セクションは、アナリストが攻撃の仕組みを理解するのに役立ちますが、影響の定量的な測定値は提供されません。脆弱性セクションには、脆弱性の種類、グループ、および説明に関する情報が含まれています。脆弱性セクションは、アナリストが脆弱性を識別および分類するのに役立ちますが、影響の数値は提供されません。プロファイル セクションには、脆弱性の認証、表示回数、および攻撃性に関する情報が含まれています。プロファイル セクションは、アナリストが脆弱性のリスクと優先度を評価するのに役立ちますが、データ機密性への影響の具体的な測定値は提供されません。
参考文献:
[1] CVE - 共通脆弱性識別子（CVE）
[2] 共通脆弱性評価システムSIG
[3] CVSS v3.1仕様書
[4] CVSS v3.1 ユーザーガイド
[5] 脆弱性レポートの読み方 - Security Boulevard

説明
脆弱性 B は、エンド ユーザーが電子メールで送られてくる悪意のあるリンクを頻繁にクリックすることから、アナリストが最も懸念すべき脆弱性です。脆弱性 B は、Microsoft Outlook のリモート コード実行の脆弱性であり、攻撃者は特別に細工した電子メール メッセージを送信することで、ターゲット システム上で任意のコードを実行できます。この脆弱性は、悪用をトリガーするためにユーザーの操作や添付ファイルを開く必要がないため、非常に危険です。攻撃者は被害者の Outlook アカウントに電子メールを送信するだけで、Outlook が Exchange サーバーに接続するとコードが自動的に実行されます。この脆弱性の重大度は 10 点満点中 9.8 点と高く、サポートされているすべてのバージョンの Outlook に影響します。
したがって、アナリストはワークステーションの潜在的な侵害を防ぐために、この脆弱性をできるだけ早く修正することを優先する必要があります。

テストは、変更が既存のシステムと互換性があり、エラーや中断が発生しないことを保証するため、変更管理プロセスにおいて重要なステップです。このケースでは、変更管理チームが Windows 11 デバイスで電子メール クライアント パッチをテストしなかったため、ユーザーに広範囲にわたる問題が発生しました。
テストを行うことで、パッチが展開される前に問題が明らかになり、チームは問題を修正するか、変更を延期することができました。
参考資料: 変更管理戦略が失敗する 7 つの理由とその回避方法、CompTIA CySA+ CS0-003 認定試験学習ガイド