情報処理安全確保支援士試験 情報処理安全確保支援士試験 平成30年度秋期 午前Ⅱ 問2: JVN などの脆弱性対策情報ポータルサイトで採用されている CVE（Common Vulnerabilities and Exposures）識別子の説明はどれ

正解

ウ. 製品に含まれる脆弱性を識別するための識別子

正答率 100.0%（1人中 1人が正解）

問題の解説

CVEは個々のソフトウェア製品に存在する脆弱性そのものに一意な識別番号(CVE-年-連番)を付け、世界中の情報を相互参照できるようにする共通辞書。JVNやNVDなどのポータルが採用し、同じ脆弱性を異なるベンダー間でも一意に指せる。ウが製品の脆弱性を識別する識別子と正しく述べておりウが正解。実務では脆弱性管理やパッチ適用判断でCVE番号を軸に情報を突き合わせる。

選択肢ごとの解説

• アセキュリティ設定項目を識別するのはCCE(構成情報)であり、脆弱性そのものを指すCVEとは異なるので誤り。
• イ改ざんされたWebサイトのスクリーンショットを識別する規格は存在せず、CVEの定義とも無関係で誤り。
• ウCVEは製品ごとの個別脆弱性に一意な番号を付与する共通識別子で、これが定義どおりであり正解。
• エ製品そのものを識別するのはCPE(プラットフォーム識別)で、脆弱性を指すCVEとは別物なので誤り。