令和3年度春期 情報処理安全確保支援士 午前Ⅱ 問8

午前II 問08

CVE は Common Vulnerabilities and Exposures の略で、ソフトウェアや製品に見つかった一つ一つの脆弱性に付けられる管理番号だよ。たとえるなら、図書館の本に付いている整理番号みたいなもので、「この脆弱性のことだね」と世界中で同じ番号を使って特定できるようにしているんだ。

この問題で問われていること

この問題では、CVE が設定項目や製品ジャンルを表すものではなく、脆弱性そのものを識別するための番号だと分かっているかが問われているよ。

CVE の役割

脆弱性情報データベースやベンダ情報を横断的に参照するとき、同じ脆弱性を示す共通 ID として使う。

CVE\n-> 脆弱性を識別

確認ポイント

• セキュリティ設定項目の識別子ではありません。
• セキュリティ製品種別の識別子でもない。
• 製品に含まれる脆弱性の識別子を選ぶ。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。セキュリティ設定項目を識別するものはCCEの説明に近いんだ。CVEは「鍵を二重にする」「窓を閉める」みたいな設定項目の番号ではなく、「この鍵には壊れやすい欠陥がある」という脆弱性の番号だよ。

選択肢イ

これは不正解だよ。CVEは、改ざんされたWebサイトのスクリーンショットを管理する番号ではないよ。泥棒に荒らされた部屋の写真番号ではなく、「どの合鍵の穴が悪用されたのか」という弱点を特定する番号だと考えよう。

選択肢ウ（正解）

これは正解だよ。CVE識別子は、ソフトや製品に見つかった“特定の弱点”に付ける共通の番号なんだ。たとえば建物の壊れた窓に「故障番号」を貼って、修理担当や警備員が同じ場所をすぐ分かるようにする感じだよ。

選択肢エ

これは不正解だよ。CVEは“セキュリティ製品の種類”を表す番号ではないんだ。防犯カメラ、金庫、警報機みたいな道具の分類ラベルではなく、「この窓の鍵が壊れている」という弱点そのものに付ける番号だよ。