情報処理安全確保支援士試験 情報セキュリティスペシャリスト試験 平成27年度春期 午前Ⅱ 問7: JVN（Japan Vulnerability Notes）などの脆弱性対策ポータルサイトで採用されているCVE（Common Vulnerabilities

正解

ウ. 製品に含まれる脆弱性を識別するための識別子である。

正答率 50.0%（2人中 1人が正解）

問題の解説

CVEは、製品に含まれる個々の脆弱性に一意の識別子(CVE-年-番号)を付与する国際的な共通枠組み。これによりベンダーや組織が同じ脆弱性を共通の名前で参照でき、情報共有や対応の効率が上がる。JVNなどのポータルでも採用される。実務では脆弱性管理やパッチ適用の優先度付けで、CVE番号を軸に深刻度(CVSS)と突き合わせて運用する。

選択肢ごとの解説

• アセキュリティ設定項目を識別するのはCCEであり、脆弱性を識別するCVEとは異なるため誤り。
• イ改ざんサイトのスクリーンショットを識別する仕組みではなく、CVEの説明として誤り。
• ウ製品に含まれる脆弱性を一意に識別するのがCVEの役割であり正しい。
• エセキュリティ製品を識別するのはCPE等であり、脆弱性識別子のCVEとは異なるため誤り。