平成29年度春期 情報処理安全確保支援士 午前Ⅱ 問10

午前II 問10：CVE識別子は“脆弱性の名札”だよ

CVE識別子は、ソフトウェアや製品の中で見つかった個々の脆弱性に付けられる、世界共通の管理番号だよ。たとえば落とし物に受付番号を付けるように、「この脆弱性のことだね」と誰でも同じものを指せるようにするために使われるんだ。JVNなどでも、脆弱性情報を共通して参照するために使われるよ。

この問題で問われていること

ここで大事なのは、CVE識別子が製品名や設定項目を識別する番号ではなく、“脆弱性そのもの”を識別する番号だという点だよ。

CVE の役割

脆弱性情報を複数のデータベースやベンダで突き合わせるには共通識別子が必要です。その役割を担うのが CVE です。対象は脆弱性であって製品カテゴリではありません。

脆弱性 -> CVE 番号\n各情報源で共通参照

確認ポイント

• 設定項目識別子ではありません。
• スクリーンショットや製品を識別する番号でもありません。
• JVN と CVE を「脆弱性情報公開」の文脈で結び付けます。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これはCVEの説明としては不正解だよ。セキュリティ設定項目を識別するのはCCEの話で、CVEは脆弱性を識別するものなんだ。また、改ざんされたWebサイトのスクリーンショットに番号を付ける仕組みでもないよ。CVEは写真の整理番号ではなく、“危ない穴”の整理番号だと考えよう。

選択肢イ

これはCVEの説明として正解だよ。CVEは、製品の中に見つかった脆弱性を世界共通で指せるようにする識別子なんだ。たとえるなら、「あの窓の鍵が壊れている件」とみんなが同じ故障番号で話せるようにする整理番号だよ。

選択肢ウ（正解）

これはCVEの説明としては不正解だよ。CVEは「どのセキュリティ製品か」に付ける名札ではなく、「どの脆弱性か」に付ける番号なんだ。たとえるなら、店の商品棚の名前ではなく、壊れているドアの故障番号を管理する感じだよ。

選択肢エ

この選択肢は「ー6一」となっていて説明文として成立していないので、CVEの説明としては選べないよ。試験では、CVEは脆弱性そのものに付く番号だと押さえよう。泥棒に入られやすい“壊れた鍵”ごとに番号を振るイメージだね。