Réglementation liée à la sécurité de l'information

Lequel des actes suivants correspond à un accès non autorisé interdit par la loi japonaise sur l'interdiction des accès non autorisés (不正アクセス禁止法, Fusei Akusesu Kinshi-hō) ?

1. Emporter sans autorisation un savoir-faire de fabrication de l'entreprise géré comme secret, et le divulguer à un concurrent.
2. Manipuler directement un PC non connecté au réseau, et s'y connecter avec l'identifiant et le mot de passe d'un collègue.
3. Saisir sans autorisation l'identifiant et le mot de passe d'autrui, pour se connecter à un serveur interne depuis l'extérieur de l'entreprise via Internet.
4. Créer un virus provoquant un fonctionnement contraire à l'intention de l'utilisateur, et le conserver sur son propre PC sans le distribuer.

À la demande d'un collègue débordé de travail, on lui a communiqué, sans motif légitime, l'identifiant et le mot de passe de son propre système métier. Quelle est la combinaison la plus appropriée de la loi et de la disposition concernées par ce problème ?

1. L'acte facilitant l'accès non autorisé, interdit par la loi sur l'interdiction des accès non autorisés
2. Le délit du Code pénal relatif aux enregistrements électromagnétiques porteurs d'instructions illicites (dit délit de virus)
3. L'obtention et la divulgation illicites d'un secret d'affaires, interdites par la loi sur la prévention de la concurrence déloyale
4. L'atteinte au droit de reproduction et au droit de communication au public, prévue par la loi sur le droit d'auteur

Une personne a manipulé directement, sur place, un PC autonome non connecté au réseau local interne, et s'y est connectée en saisissant l'identifiant et le mot de passe d'un collègue. Pour quelle raison cet acte ne relève-t-il pas d'un accès non autorisé au sens de la loi sur l'interdiction des accès non autorisés ?

1. Parce que l'acte n'a pas été commis via une ligne de télécommunication
2. Parce qu'aucune fonction de contrôle d'accès n'était configurée sur ce PC
3. Parce qu'elle avait obtenu l'identifiant et le mot de passe de la bouche même du collègue
4. Parce qu'elle n'a ni consulté ni emporté de fichiers

Quelle loi peut s'appliquer à une personne qui a créé un programme provoquant un fonctionnement contraire à l'intention de l'utilisateur, et l'a conservé sur son propre PC sans encore l'avoir distribué à personne ?

1. La loi sur la prévention de la concurrence déloyale
2. La loi sur l'interdiction des accès non autorisés
3. La loi fondamentale sur la cybersécurité
4. Le délit du Code pénal relatif aux enregistrements électromagnétiques porteurs d'instructions illicites

Quel délit peut le plus s'appliquer à une personne qui a saisi le numéro de carte de crédit d'autrui, obtenu par elle, sur un site de vente en ligne, pour se faire livrer un produit à elle-même ?

1. L'obtention illicite de données à fourniture limitée, prévue par la loi sur la prévention de la concurrence déloyale
2. L'atteinte au droit de communication au public, prévue par la loi sur le droit d'auteur
3. Le délit de fraude par utilisation d'un ordinateur, prévu par le Code pénal
4. Le délit d'entrave aux activités par destruction d'ordinateur, prévu par le Code pénal

Quel délit peut le plus s'appliquer à une personne qui a envoyé en continu un volume massif de requêtes vers le serveur Web d'une autre entreprise, le rendant incapable de répondre, et a ainsi arrêté son activité de vente en ligne ?

1. Le délit d'entrave aux activités par destruction d'ordinateur, prévu par le Code pénal
2. Le délit du Code pénal relatif aux enregistrements électromagnétiques porteurs d'instructions illicites
3. L'obtention illicite d'un secret d'affaires, prévue par la loi sur la prévention de la concurrence déloyale
4. L'accès non autorisé, prévu par la loi sur l'interdiction des accès non autorisés

Quel est le contenu approprié de la loi fondamentale sur la cybersécurité ?

1. Elle définit les responsabilités de l'État et des collectivités locales, ainsi que les efforts attendus des opérateurs d'infrastructures sociales critiques, et prévoit l'installation, au sein du Cabinet, d'un quartier général de la stratégie de cybersécurité.
2. Elle prévoit des dispositions punissant comme un délit le fait de se connecter à un ordinateur en utilisant sans autorisation l'identifiant et le mot de passe d'autrui.
3. Elle prévoit qu'en cas de fourniture de données personnelles à un tiers, le consentement préalable de la personne concernée doit, en principe, être obtenu.
4. Elle définit les trois conditions — gestion en tant que secret, utilité et absence de notoriété publique — requises pour bénéficier de la protection légale en tant que secret d'affaires.

Quelle est la combinaison des trois conditions nécessaires pour qu'une information soit protégée comme secret d'affaires au titre de la loi sur la prévention de la concurrence déloyale ?

1. Exactitude, exhaustivité et actualité
2. Confidentialité, intégrité et disponibilité
3. Fourniture limitée, accumulation substantielle et gestion électromagnétique
4. Gestion en tant que secret, utilité et absence de notoriété publique

Un employé parti de l'entreprise a copié et emporté la liste des clients, placée dans un dossier partagé accessible à tous en interne, sans aucune mention comme « réservé à l'entreprise ». Quelle est la principale raison pour laquelle il est difficile d'invoquer une atteinte à un secret d'affaires au titre de la loi sur la prévention de la concurrence déloyale ?

1. La personne qui l'a emportée disposait, du temps où elle était en poste, d'un droit d'accès légitime
2. Il est difficile de reconnaître qu'elle était gérée comme un secret, si bien que la condition de gestion du secret fait défaut
3. La liste des clients est déjà une information publiquement connue, si bien que la condition d'absence de notoriété publique fait défaut
4. La liste des clients ne peut être considérée comme une information utile à l'activité, si bien que la condition d'utilité fait défaut

Une grande quantité de données d'observation météorologique, fournie à titre onéreux aux entreprises membres, est accumulée et gérée par un moyen électromagnétique, mais n'est pas gérée comme un secret. À quel type de protection de la loi sur la prévention de la concurrence déloyale ces données appartiennent-elles ?

1. Le secret d'affaires au sens de la loi sur la prévention de la concurrence déloyale
2. Les informations personnelles nécessitant une attention particulière au sens de la loi sur la protection des informations personnelles
3. Les données à fourniture limitée au sens de la loi sur la prévention de la concurrence déloyale
4. Les informations traitées de façon anonyme au sens de la loi sur la protection des informations personnelles

Laquelle des propositions suivantes relève d'une information personnelle au sens de la loi japonaise sur la protection des informations personnelles (個人情報保護法, Kojin Jōhō Hogo-hō) ?

1. Une statistique du nombre de visiteurs, agrégée de façon à ne permettre l'identification d'aucun individu déterminé
2. Le nom et l'ancienne adresse, du vivant de la personne, d'une personne déjà décédée
3. Le numéro de permis de conduire d'une personne physique vivante
4. L'adresse du siège social et le numéro de téléphone principal d'une personne morale

Sur quel objet la personne concernée peut-elle demander à l'opérateur traitant des informations personnelles la divulgation, la rectification du contenu, ou la cessation de l'utilisation ?

1. Les informations traitées sous pseudonyme
2. Les informations traitées de façon anonyme
3. La base de données d'informations personnelles et assimilées
4. Les données personnelles détenues

Laquelle des propositions suivantes relève d'une information personnelle nécessitant une attention particulière au sens de la loi sur la protection des informations personnelles ?

1. L'adresse électronique professionnelle d'un employé
2. L'information relative à la nationalité d'un employé
3. Le montant du revenu annuel d'un employé sur la dernière année
4. Le résultat de la visite médicale d'un employé

Concernant le traitement d'une information personnelle nécessitant une attention particulière, laquelle des propositions suivantes est appropriée ?

1. Même lorsqu'elle est transmise à un prestataire dans les limites nécessaires à la réalisation de la finalité d'utilisation, le consentement préalable de la personne concernée est toujours indispensable.
2. Une fois traitée en information sous pseudonyme, elle peut être fournie à un tiers sans le consentement de la personne concernée.
3. L'obtention exige en principe le consentement préalable de la personne concernée, et la fourniture à un tiers par opt-out n'est pas admise.
4. Si l'information a été publiée par la personne concernée elle-même, il devient inutile, après son obtention, de continuer à la traiter comme une information nécessitant une attention particulière.

Quelle est la condition nécessaire pour effectuer une fourniture de données personnelles à un tiers par opt-out ?

1. Faire, à chaque fourniture, un rapport écrit à la Commission de protection des données personnelles sur le contenu des données fournies et le nom et l'adresse du destinataire
2. Traiter les données personnelles fournies en informations traitées de façon anonyme, de sorte qu'aucun individu déterminé ne puisse être identifié ni les données restaurées
3. Notifier les éléments prescrits à la personne concernée, ou les placer dans un état où elle peut facilement en prendre connaissance, et effectuer une déclaration auprès de la Commission de protection des données personnelles
4. Obtenir à l'avance, pour chaque destinataire, le consentement individuel de la personne concernée

Quelle est la différence entre l'usage commun de données personnelles et la fourniture à un tiers par opt-out ?

1. L'usage commun ne nécessite pas de déclaration auprès de la Commission de protection des données personnelles, alors que l'opt-out en nécessite une.
2. L'usage commun ne peut pas porter sur des informations personnelles nécessitant une attention particulière, alors que l'opt-out le peut.
3. L'usage commun relève d'une fourniture à un tiers, alors que l'opt-out en est exclu.
4. L'usage commun ne nécessite absolument aucune notification à la personne concernée, alors que l'opt-out en nécessite une.

Concernant la différence entre les informations traitées sous pseudonyme et les informations traitées de façon anonyme, laquelle des propositions suivantes est appropriée ?

1. Dans les deux cas, il faut, lors d'une fourniture à un tiers, notifier au destinataire les coordonnées de la personne concernée.
2. Les informations traitées de façon anonyme peuvent être fournies à un tiers sans le consentement de la personne concernée, alors que les informations traitées sous pseudonyme ne peuvent l'être, sauf en cas de sous-traitance, de succession d'entreprise ou d'usage commun.
3. Les deux peuvent être fournies à un tiers avec le consentement de la personne concernée, et ne peuvent l'être sans ce consentement.
4. Les informations traitées sous pseudonyme peuvent être fournies à un tiers même sans le consentement de la personne concernée, alors que les informations traitées de façon anonyme ne peuvent l'être même avec ce consentement.

L'entreprise souhaite faire analyser les données de ses membres uniquement par son service marketing interne. Après avoir supprimé le nom et d'autres éléments, et traité les données de sorte qu'un individu ne puisse être identifié qu'en cas de recoupement avec d'autres informations, quelle est la qualification et la contrainte appropriées de l'information ainsi traitée ?

1. Il s'agit d'une information traitée sous pseudonyme, qui cesse d'être une information personnelle dès son traitement et échappe donc entièrement à l'application de la loi sur la protection des informations personnelles.
2. Il s'agit d'une information traitée sous pseudonyme ; il est interdit de la recouper avec d'autres informations dans le but d'identifier la personne concernée, et elle ne peut en principe pas non plus être fournie à un tiers.
3. Il s'agit d'une information traitée de façon anonyme, et l'information traitée peut être utilisée pour contacter la personne concernée.
4. Il s'agit d'une information traitée de façon anonyme, à laquelle il faut répondre en cas de demande de divulgation ou de cessation d'utilisation formée par la personne concernée.

Dans quel cas la transmission de données personnelles à un autre opérateur, sans le consentement de la personne concernée, ne viole-t-elle pas la restriction de fourniture à un tiers ?

1. Lorsqu'il a été vérifié que le destinataire est un opérateur ayant effectué la déclaration nécessaire auprès de la Commission de protection des données personnelles
2. Lorsqu'elle est faite à une autre société du même groupe d'entreprises, au motif qu'elle appartient au même groupe
3. Lorsqu'elle est faite à un prestataire à qui l'on confie une tâche dans les limites nécessaires à la réalisation de la finalité d'utilisation, pour l'exécution de cette tâche
4. Lorsqu'elle est faite à l'entreprise avec laquelle des cartes de visite ont été échangées lors d'un salon, dans le but de la démarcher ultérieurement

En cas de fuite de données personnelles, dans quel cas le rapport à la Commission de protection des données personnelles et la notification aux personnes concernées deviennent-ils obligatoires ?

1. Uniquement lorsqu'une question a effectivement été posée par une personne concernée
2. Lorsque des informations nécessitant une attention particulière sont concernées, lorsqu'une intention frauduleuse est possible, ou lorsque le nombre de personnes concernées dépasse 1 000, entre autres cas
3. Le cas où, pour une fuite survenue chez un prestataire, seul ce prestataire doit faire un rapport, le commettant n'étant soumis à aucune obligation de rapport à la Commission de protection des données personnelles
4. Quel que soit le nombre ou le contenu des données personnelles ayant fui, tout cas de fuite, de perte ou d'endommagement survenu chez cet opérateur

Une liste de clients confiée par un partenaire commercial a été utilisée sans autorisation pour les activités commerciales propres de l'entreprise, dans un but différent de celui défini par le contrat. Quelle est la loi la plus directement concernée ?

1. La loi sur la protection des informations personnelles
2. Le délit du Code pénal relatif aux enregistrements électromagnétiques porteurs d'instructions illicites
3. La loi sur le droit d'auteur
4. La loi sur l'interdiction des accès non autorisés

Quel est le nom de la loi, issue de la réforme de l'ancienne loi sur la limitation de responsabilité des fournisseurs d'accès, entrée en vigueur le 1er avril 2025 ?

1. La loi sur la transparence des plateformes numériques spécifiées
2. La loi sur la prévention des atteintes aux droits sur Internet
3. La loi sur la publication d'informations par les opérateurs de télécommunications
4. La loi sur le traitement des plateformes de diffusion de l'information

Quelle obligation la loi sur le traitement des plateformes de diffusion de l'information impose-t-elle aux grands fournisseurs de services de télécommunication spécifiés ?

1. Publier les informations relatives à l'auteur d'une publication soupçonnée de porter atteinte à un droit, même en l'absence de demande de la victime
2. Publier la méthode de réception des demandes de suppression, enquêter sur ces demandes et notifier le résultat dans un délai déterminé, et définir et publier des critères de suppression
3. Suivre l'ordre de suppression émis au cas par cas par l'administration pour une publication ayant fait l'objet d'une plainte pour atteinte à un droit, et supprimer immédiatement cette publication
4. Examiner individuellement le contenu de chaque information avant sa publication, et ne pas la publier en cas de risque d'atteinte à un droit

Quelle loi dispose qu'un opérateur de télécommunications ne doit pas divulguer le secret des communications d'autrui dont il a eu connaissance dans le cadre de son activité ?

1. La loi sur l'interdiction des accès non autorisés
2. La loi sur la protection des informations personnelles
3. Le délit de création illicite d'un enregistrement électromagnétique privé, prévu par le Code pénal
4. La loi sur les télécommunications

Quelle loi définit le principe selon lequel un courriel électronique à but publicitaire ne peut être envoyé qu'aux personnes ayant préalablement donné leur consentement ?

1. La loi sur la protection des informations personnelles
2. La loi sur la réglementation des courriers électroniques spécifiés
3. La loi sur l'interdiction des accès non autorisés
4. La loi sur le droit d'auteur

Lors de l'envoi d'un courriel publicitaire fondé sur la loi sur la réglementation des courriers électroniques spécifiés, que l'expéditeur doit-il obligatoirement faire ?

1. Faire, pour chaque destinataire pris individuellement, une notification préalable 3 jours avant l'envoi du courriel publicitaire.
2. Afficher le nom ou la dénomination de l'expéditeur, ainsi qu'un contact permettant de recevoir une notification de refus de réception.
3. Mentionner en tête du corps du message le numéro de déclaration obtenu au préalable auprès de la Commission de protection des données personnelles.
4. Changer l'adresse électronique d'envoi à chaque fois, sans jamais réutiliser la même adresse.

Quel est le contenu approprié de la loi japonaise sur les signatures électroniques (電子署名法, Denshi Shomei-hō) ?

1. Pour un enregistrement électromagnétique muni d'une signature électronique, non seulement l'identité de l'auteur, mais aussi la véracité du contenu écrit, est légalement garantie.
2. Un enregistrement électromagnétique muni d'une signature électronique satisfaisant certaines conditions, que seul l'intéressé peut apposer, est présumé avoir été établi de façon authentique.
3. Le certificat utilisé pour la signature électronique ne peut être délivré que directement par l'État.
4. L'usage d'une signature électronique exige d'obtenir au préalable, par écrit, le consentement de l'autre partie.

Un logiciel du commerce a été installé sans autorisation sur des PC internes en nombre dépassant les licences achetées, et utilisé ainsi. Quelle est la loi la plus directement concernée ?

1. La loi sur la prévention de la concurrence déloyale
2. La loi sur la protection des informations personnelles
3. La loi sur l'interdiction des accès non autorisés
4. La loi sur le droit d'auteur

Laquelle des propositions suivantes n'est pas protégée par la loi sur le droit d'auteur ?

1. Une photographie prise par un employé pour être publiée dans le bulletin interne de l'entreprise
2. L'algorithme qui sous-tend un programme, ou le protocole de communication lui-même
3. Une macro-programme fonctionnant sous un tableur, créée par un employé à des fins professionnelles
4. Une base de données interne dont la sélection ou l'organisation systématique des informations présente un caractère créatif

Pour développer en interne une IA générative, l'entreprise souhaite collecter une grande quantité de textes publiés sur le Web et les analyser comme données d'apprentissage. Quelle est l'approche appropriée au regard de la loi sur le droit d'auteur ?

1. L'usage à des fins d'analyse d'information, ne visant pas à jouir de la pensée ou du sentiment exprimés dans une œuvre, peut se faire sans autorisation dans la mesure jugée nécessaire, sauf lorsqu'il porte atteinte de façon injustifiée aux intérêts du titulaire des droits.
2. Dès lors qu'elle a servi à l'apprentissage, même si le texte produit ressemble à une œuvre existante et est jugé en découler, cela ne constitue jamais une atteinte au droit d'auteur.
3. Une information publiée sur Internet, même s'il s'agit d'une œuvre, échappant à l'application de la loi sur le droit d'auteur, sa collecte, son analyse et la publication du résultat produit peuvent se faire librement.
4. Lorsqu'elles servent de données d'apprentissage, même dans le cadre d'une analyse d'information ne visant pas à jouir de la pensée ou du sentiment exprimés, aucune œuvre collectée ne peut être utilisée sans l'autorisation individuelle de son titulaire de droits.

Quel usage est admis par la loi sur le droit d'auteur sans l'autorisation du titulaire des droits ?

1. Télécharger et conserver une bande dessinée payante, tout en sachant qu'elle a été mise en ligne illégalement.
2. Citer une partie d'un article publié, en indiquant clairement la source, en la distinguant nettement de son propre texte, et dans une mesure où son propre texte reste prépondérant.
3. Photocopier la partie nécessaire d'un livre du commerce en autant d'exemplaires que de participants, pour la distribuer comme support d'une formation interne, chacun devant la conserver.
4. Contourner une protection anticopie pour reproduire un DVD du commerce, en vue de le regarder à titre personnel chez soi.

Quelle est la différence appropriée entre un contrat d'entreprise (ukeoi) et un contrat de travail temporaire (haken) ?

1. Ni le donneur d'ordre dans le contrat d'entreprise, ni l'entreprise utilisatrice dans le travail temporaire, ne peuvent donner d'instructions directes aux travailleurs qu'ils reçoivent.
2. Dans le contrat d'entreprise, le donneur d'ordre ne peut pas donner d'instructions directes aux travailleurs de l'autre partie, tandis que dans le travail temporaire, l'entreprise utilisatrice peut donner des instructions au travailleur temporaire.
3. Dans les deux cas, c'est l'entreprise qui reçoit le travail qui est liée aux travailleurs par un rapport d'emploi, et c'est aussi elle qui donne les instructions.
4. Dans le contrat d'entreprise, le donneur d'ordre peut donner des instructions directes aux travailleurs de l'autre partie, tandis que dans le travail temporaire, l'entreprise utilisatrice ne peut pas donner d'instructions au travailleur temporaire.

Dans le cadre d'un contrat de prestation (entreprise), un cadre de l'entreprise donne directement des instructions quotidiennes sur le contenu et les procédures de travail à un ingénieur d'une société partenaire présent en permanence dans ses locaux. Comment appelle-t-on cet état, et quelle loi viole-t-il principalement ?

1. C'est une reproduction non autorisée, qui viole principalement la loi sur le droit d'auteur.
2. C'est un usage hors finalité, qui viole principalement la loi sur la protection des informations personnelles.
3. C'est un usage illicite d'un secret d'affaires, qui viole principalement la loi sur la prévention de la concurrence déloyale.
4. C'est une sous-traitance déguisée, qui viole principalement la loi sur le travail temporaire.

La loi sur la sous-traitance (下請法, Shitauke-hō) a changé de nom le 1er janvier 2026 (8e année de l'ère Reiwa). Quelle est la combinaison appropriée du nouveau nom abrégé et des changements apportés en même temps ?

1. Loi sur la normalisation de la concurrence loyale. Le champ est limité à l'industrie manufacturière, à l'exclusion du transport et de la création d'un produit informationnel, sans changement de dénomination.
2. Loi de soutien aux petites et moyennes entreprises. Le critère du capital social est supprimé, la taille de l'entreprise se jugeant désormais uniquement au nombre d'employés, et l'interdiction du paiement par effet de commerce a été reportée.
3. Loi sur la normalisation des transactions de sous-traitance des PME (中小受託取引適正化法, Chūshō Jutaku Torihiki Tekiseika-hō ; abrégée « Tekihō », 取適法). L'entreprise principale est renommée « entreprise commettante » et le sous-traitant « PME sous-traitante », et le paiement par effet de commerce est interdit.
4. Loi sur la transparence des transactions de sous-traitance. Elle impose de déclarer au préalable à la Commission du commerce loyal le contenu de la sous-traitance.

Une tâche de saisie de données personnelles a été sous-traitée à l'extérieur, et un employé du prestataire a emporté ces données pour les vendre à un courtier en listes. Concernant la responsabilité du commettant, laquelle des propositions suivantes est appropriée ?

1. La fourniture au prestataire achevant la fourniture à un tiers, aucune responsabilité ne subsiste pour le commettant.
2. Le commettant a l'obligation d'exercer une supervision nécessaire et appropriée sur le prestataire, et sa responsabilité peut être engagée au titre de la loi sur la protection des informations personnelles.
3. S'agissant d'un cas survenu chez le prestataire, l'obligation de rapport à la Commission de protection des données personnelles ne pèse que sur le prestataire, et non sur le commettant.
4. Un accord de confidentialité conclu avec le prestataire suffit à exonérer le commettant de toute responsabilité.

Quel est le préalable nécessaire pour prendre une sanction disciplinaire contre un employé ayant violé le règlement de sécurité de l'information ?

1. Que les types de sanctions disciplinaires et leurs motifs soient définis dans le règlement de travail, et diffusés aux employés
2. Que le règlement de sécurité de l'information ait été préalablement déclaré auprès de la Commission de protection des données personnelles
3. Que l'acte de violation soit également reconnu comme relevant simultanément d'un délit pénal
4. Qu'un accord écrit de confidentialité ait été conclu au préalable avec chaque employé pris individuellement

Concernant la loi japonaise sur la protection des lanceurs d'alerte d'intérêt public (公益通報者保護法, Kōeki Tsūhōsha Hogo-hō), laquelle des propositions suivantes est appropriée ?

1. Le signalement doit obligatoirement être fait à un organisme administratif, un signalement à un guichet interne n'étant pas protégé par la loi, si bien qu'aucun traitement défavorable n'y est non plus interdit.
2. Quelle que soit la taille de l'opérateur, la mise en place d'un guichet de signalement interne reste dans tous les cas une simple obligation de moyens.
3. Le licenciement ou tout autre traitement défavorable motivé par un signalement d'intérêt public est interdit, et les opérateurs dépassant une certaine taille ont l'obligation de mettre en place un dispositif de traitement des signalements internes d'intérêt public.
4. Le nom du lanceur d'alerte peut être largement partagé avec les services concernés, afin de faciliter le bon déroulement de l'enquête interne.

Quelle est la description appropriée du CVSS, l'indicateur commun d'évaluation de la gravité des vulnérabilités ?

1. Une méthode d'évaluation qui exprime numériquement, selon un critère commun, la gravité d'une vulnérabilité, sur une échelle de 0.0 à 10.0
2. Le nom d'une base de données d'informations sur les mesures de sécurité, qui rassemble et publie les informations sur les vulnérabilités signalées au niveau national
3. Une liste indiquant quels composants logiciels sont inclus dans un produit, jusqu'à leur nom et leur version
4. Un numéro d'identification commun au niveau mondial, attribué à chaque vulnérabilité prise individuellement, et utilisé en commun par les parties concernées

Concernant les termes relatifs aux vulnérabilités, laquelle des propositions suivantes est appropriée ?

1. Le JVN n'est qu'une liste classant les types de vulnérabilités, et ne publie pas d'informations sur des vulnérabilités individuelles ni de mesures.
2. Le CVE est une échelle commune permettant d'évaluer numériquement la gravité d'une vulnérabilité.
3. Le CVSS est un numéro d'identification commun attribué pour identifier de façon unique une vulnérabilité prise individuellement.
4. Le CVSS est une échelle commune évaluant la gravité d'une vulnérabilité, et le CVE un numéro commun identifiant une vulnérabilité prise individuellement.

Quel est le contenu approprié des directives sur la gouvernance de la cybersécurité, publiées par le ministère de l'Économie, du Commerce et de l'Industrie et l'IPA ?

1. Elles définissent, sous forme de norme, le critère d'examen pour obtenir la certification ISMS.
2. Elles présentent un critère de jugement concret pour interpréter le contenu des obligations légales relatives aux mesures de gestion de la sécurité des données personnelles.
3. Elles présentent trois principes que les dirigeants doivent connaître, et dix points importants que les dirigeants doivent faire instruire à des cadres tels que le CISO.
4. Elles désignent nommément des produits pour spécifier concrètement les mesures techniques minimales que doivent mettre en œuvre les petites et moyennes entreprises.