CVE識別子の説明｜科目A-1（応用情報技術者） 令和6年 秋期午前試験 問41
出典：令和6年秋期 午前 問41
分野：セキュリティ ／ 情報セキュリティ管理
JVNなどの脆弱性情報サイトで採用されているCVE（Common Vulnerabilities and Exposures）識別子の説明はどれか。
- ア：コンピュータで必要なセキュリティ設定項目を識別するための識別子
- イ：脆弱性が悪用されて改ざんされたWebサイトのスクリーンショットを識別するための識別子
- ウ：製品に含まれる脆弱性を識別するための識別子
- エ：セキュリティ製品の種別を識別するための識別子
TSUNAGARU-ADVICE
まず押さえたいこと
CVEは、公開されている個々の脆弱性を一意に識別するための識別子です。製品名やベンダーが異なっていても、同じ脆弱性を共通の番号で参照できるため、脆弱性情報を整理・共有しやすくなります。
迷ったときの判断軸
CVEは、セキュリティ設定項目や製品の種類を識別する番号ではありません。「どの脆弱性のことかを特定するための共通ID」と覚えると判断しやすくなります。CVE番号は脆弱性そのものを指し示すために使われます。
科目Bにつなげるために
特に情報処理安全確保支援士試験合格を目指す方は、CVEを脆弱性管理やパッチ適用判断の基準となる識別子として理解しましょう。JVNなどの情報源でCVE番号を確認し、対象製品・影響範囲・対策状況を追跡する実務にもつながります。
CVE（Common Vulnerabilities and Exposures）は、ソフトウェアや製品に存在する個々の脆弱性を一意に識別するための識別子です。
例えば、特定の脆弱性には「CVE-年-番号」のような形式で識別子が付与され、JVNなどの脆弱性情報サイトでも共通の番号として利用されます。
したがって、ウが適切です。
また、脆弱性対策関連情報には似たような英語略字の用語も存在します。次の5つは出題可能性が高いため、覚えておきましょう。
- CVE：共通脆弱性識別子
- CCE：共通セキュリティ設定一覧
- CWE：共通脆弱性タイプ一覧
- CPE：共通プラットフォーム一覧
- CVSS：共通脆弱性評価システム
❌他選択肢が誤りの理由ア：コンピュータで必要なセキュリティ設定項目を識別するための識別子
⇒CVEは設定項目を識別するものではなく、脆弱性そのものを識別するための識別子です。
イ：脆弱性が悪用されて改ざんされたWebサイトのスクリーンショットを識別するための識別子
⇒CVEはWebサイトの改ざん記録や画像を識別するための番号ではありません。ソフトウェアや製品の脆弱性を識別するために使われます。
エ：セキュリティ製品の種別を識別するための識別子
⇒CVEはセキュリティ製品の種類を分類するものではなく、脆弱性ごとに付与される識別子です。