令和6年度春期 情報処理安全確保支援士 午前Ⅱ 問9

午前II 問09：CWEは「弱点の種類リスト」だよ

CWE（Common Weakness Enumeration）は、ソフトウェアの“弱点の種類”に名前を付けて整理した一覧だよ。たとえば「家の鍵が壊れている」という実際の事件そのものではなく、「鍵の管理が弱い」という弱点パターンを分類するイメージ。つまり、個別の脆弱性そのものを表すのではなく、脆弱性につながりやすい弱点や類型を識別するためのものだよ。

この問題で問われていること

この問題では、CWEをCVE・CPE・CCEなどの識別子と混同しないことがポイントだよ。CVEは個別の脆弱性、CPEは製品名などの識別、CCEは設定項目の識別、CWEは弱点の種類を表すもの、と役割を分けて覚えよう。

CWE

『脆弱性の実例』ではなく『弱点の種類』を表します。

弱点の種類一覧\n-> CWE

確認ポイント

• 製品名一覧ではありません。
• 設定項目識別子でもない。
• 脆弱性の種類の一覧を選ぶ。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これはCVSSの説明なので、CWEの説明としては不正解だよ。たとえるなら、家の弱点そのものを分類する名簿ではなく、「この壊れた鍵穴はどれくらい危ないか」を点数で評価するものだよ。

選択肢イ

これはCPEの説明なので、不正解だよ。CPEは製品名やOS名をそろえて呼ぶための名札の一覧だよ。たとえるなら『この家はA社製のドア、B社製の窓』と部品名を整理するもので、弱点の種類を整理するものではないよ。

選択肢ウ

これはCCEの説明なので、不正解だよ。CCEは「設定項目につける番号」みたいなもの。たとえば『玄関の鍵を二重にする設定』などを見分ける札であって、脆弱性の種類一覧ではないよ。

選択肢エ（正解）

これが正解だよ。CWEは、ソフトウェアやハードウェアにありがちな弱点の種類をまとめた一覧だよ。たとえば『鍵をかけ忘れやすい窓』『外から開けられる勝手口』みたいに、泥棒に狙われやすい弱点のパターンを分類しているイメージだよ。