令和6年度秋期 システム監査技術者 午前Ⅰ 問14

識別子の役割を整理する視点

脆弱性に関する情報を読むときは、個別の名称や番号を暗記するより、情報を共有・参照・追跡するための枠組みとして捉え、設問が問う役割の範囲と、説明の対象を丁寧に確認しましょう。

この問題で問われていること

一つの識別情報が何を直接表すものとして扱われているかに注目し、対象の説明、情報の管理、関係者間の参照という観点を混同せず、設問の主眼を一つに絞って読み分けてください。

視点

識別子を学ぶ際は、名称そのものではなく、誰がどの情報を同じ対象として参照するために使うのかという役割に着目します。対象、目的、利用場面の対応を整理すると、用語の位置づけを考えやすくなります。

確認ポイント

• 識別情報が示す対象の範囲を確認する
• 設問が尋ねる役割の観点を一つに絞る
• 名称の印象ではなく文中の用途に注目する

正解

ウ

解説

CVEは、ソフトウェアや機器などの製品に存在する脆弱性を個別に識別するための共通識別子です。脆弱性情報を参照・共有する際の番号として利用される。

理由

CVEはCommon Vulnerabilities and Exposuresの略称で、製品に含まれる脆弱性を個別に識別するための共通的な識別子です。脆弱性情報を検索したり、関係者間で同じ問題を参照したりするために使われる。

比較

セキュリティ設定項目、改ざんされたWebサイトの画像、セキュリティ製品の種類は、CVEが直接識別する対象ではありません。CVEの対象は、製品に存在する脆弱性そのものとして整理する。

選択肢ア

これは不正解だよ。コンピュータで必要なセキュリティ設定項目を識別するための識別子ではない。CVEは設定の推奨事項や確認項目を表すものではなく、製品に存在する脆弱性を個別に参照するために用いられる。

選択肢イ

これは不正解だよ。脆弱性が悪用されて改ざんされたWebサイトのスクリーンショットを識別するための識別子ではない。CVEは画像や被害状況の証拠を管理する番号ではなく、製品に含まれる脆弱性を識別するための共通識別子である。

選択肢ウ（正解）

これは正解だよ。CVEはCommon Vulnerabilities and Exposuresの略称で、製品に含まれる脆弱性を識別するための識別子である。脆弱性情報サイトでは、特定の脆弱性を共通の番号で参照し、情報共有や検索に利用する。

選択肢エ

これは不正解だよ。セキュリティ製品の種別を識別するための識別子ではない。CVEが示すのは製品分野や製品カテゴリではなく、ソフトウェアや機器などの製品に含まれる個別の脆弱性を参照するための情報である。

学習のポイント

CVEはセキュリティ設定や製品分類ではなく、製品に含まれる脆弱性を識別する番号として理解する。