平成26年度春期 情報処理安全確保支援士 午前Ⅱ 問14

午前II 問14：脆弱性まわりの「名前・点数・タイプ」を見分けよう

CVE は「この脆弱性はこれです」と名札を付けるための識別子だよ。CVSS は、その脆弱性がどれくらい危ないかを点数で評価するもの。CWE は、脆弱性の原因や弱点のタイプを分類するためのカテゴリだよ。

この問題で問われていること

CVE・CVSS・CWE は似た名前だけど、役割は別物だよ。人でたとえるなら、CVE は個人番号、CVSS は危険度の成績表、CWE は弱点の種類分け、というイメージで見分けよう。

CWE

CWE is a catalog of software weakness types、 not an individual vulnerability identifier or a scoring method

weakness types catalog\nnot CVE\nnot CVSS

確認ポイント

• CWE は弱点分類。
• CVE や CVSS と混同しない。
• 一覧の対象が何かを見る。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これはCVSSの説明だよ。CVSSは、脆弱性の危険度を点数で評価する“危なさメーター”みたいなもの。泥棒に入られやすいか、被害がどれくらい大きいかを採点する仕組みで、脆弱性の種類そのものを一覧化するCWEとは違うから不正解だよ。

選択肢イ

これはCPEの説明だよ。CPEは、製品名やOS名をそろえて識別するための“名札リスト”みたいなもの。例えば「この鍵はA社のこの型番のドア用です」と見分けるための名前であって、脆弱性の種類を分類するCWEの説明ではないから不正解だよ。

選択肢ウ

これはCCEの説明だよ。CCEは、セキュリティ設定項目を識別するための番号で、“設定チェックリストの項目番号”みたいなもの。例えば「窓に鍵を付ける設定」「管理者パスワードのルール設定」を指すための識別子で、脆弱性の種類を一覧にしたCWEではないから不正解だよ。

選択肢エ（正解）

これがCWEの説明なので正解だよ。CWEは、ソフトウェアの弱点の種類を整理した“弱点図鑑”みたいなもの。例えば「鍵のかけ忘れ」「窓の閉め忘れ」「受付で本人確認しない」みたいに、どんな種類の弱点なのかを分類しているんだ。