令和6年度秋期 情報処理安全確保支援士 午前Ⅰ 問14

午前I 問14：CVEは“脆弱性の名札”だよ

CVEは Common Vulnerabilities and Exposures の略で、公開されたセキュリティ上の弱点、つまり脆弱性に一つずつ番号付きの名札を付ける仕組みだよ。たとえば同じ不具合について話すときに、みんなが別々の呼び方をすると混乱するよね。そこでCVE番号を使えば、『あの脆弱性のことね』と共通の名前で正確に参照できるんだ。

この問題で問われていること

ここでは、CVEが設定項目の一覧や製品の分類名ではなく、“脆弱性そのものを識別するための番号”だと分かるかがポイントだよ。商品に型番があるように、脆弱性にもCVEという共通の識別子が付く、とイメージしよう。

CVE

`CVE-2024-xxxx` のように脆弱性単位で番号が振られる。

identify vulnerability\nunique public ID

確認ポイント

• CWE や CPE など他の識別子と混同しない。
• 脆弱性そのものを参照する番号です。
• 製品含有脆弱性の共有に使う。

正解

ウ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。コンピュータで必要なセキュリティ設定項目を識別する番号は、たとえば『玄関の鍵を二重にする』『窓の鍵を確認する』みたいな設定チェック項目に札を付けるイメージだよ。これはCCEの説明に近く、脆弱性そのものを識別する説明ではないよ。

選択肢イ

これは不正解だよ。改ざんされたWebサイトのスクリーンショットに番号を付ける、というのは『泥棒に入られた後の写真アルバムに整理番号を付ける』ような話だよ。セキュリティの識別子は、被害写真ではなく、脆弱性や設定項目などを管理するために使うものだよ。

選択肢ウ（正解）

これは不正解だよ。製品に含まれる脆弱性そのものに付ける番号は、いわば『壊れた鍵穴に貼る管理番号』のようなもので、CVEなどの考え方に近いよ。この問題で問われている識別子は、それとは別の対象を指すものだと考えよう。

選択肢エ

これは不正解だよ。セキュリティ製品の種別を見分ける番号というより、『どの製品ジャンルの窓口か』を分類するような話になってしまうよ。脆弱性や設定項目を一意に管理する識別子の説明ではないんだ。