令和7年度秋期 情報処理安全確保支援士 午前Ⅱ 問12

脆弱性のID「CVE」や、攻撃手法の図鑑「ATT&CK」を作っている組織は？

セキュリティの世界で超有名な組織「MITRE（マイター）」を答える問題。彼らは世界共通の脆弱性番号（CVE）を管理したり、ハッカーの攻撃パターンをまとめた知識ベース（ATT&CK）を公開しているよ。

この問題で問われていること

組織の名前だけで覚えるのではなく、「MITRE ＝ CVE や ATT&CK を公開しているところ」「NIST ＝ セキュリティ基準を作るところ」といった代表的な成果物とセットで整理しよう。

主要組織の対応表

MITRE は CVE や ATT&CK で知られ、NIST は標準やガイドライン、ENISA は EU の支援機関、JPCERT/CC は日本のインシデント対応連携で覚えると整理しやすい。

MITRE -> CVE / ATT&CK
NIST  -> ガイドライン / 技術仕様
ENISA -> EU 支援
JPCERT/CC -> 日本の調整・対応支援

確認ポイント

• 組織と成果物を 1 対 1 で結び付けて読む。
• 国家機関・地域機関・非営利団体の違いも手掛かりにする。
• サイバー攻撃の知識ベース公開という語が、どの組織の代表的活動かを思い出す。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これはMITREの説明だよ。CVEの運営や、攻撃者の手口を整理したMITRE ATT&CKを公開している組織だね。泥棒の侵入パターン一覧表を作って共有しているイメージだよ。選択肢の内容自体はMITREとして正しいけれど、問われている組織の説明ではないので不正解だよ。

選択肢イ

これはNISTの説明だよ。セキュリティの考え方やガイドラインを作る、いわば「防犯マニュアルを整える役所」みたいな存在だね。インシデント対応の窓口そのものではないので、この問題の答えとしては違うよ。

選択肢ウ

これはENISAの説明だよ。EU加盟国のサイバーセキュリティを支援する組織で、町内会全体の防犯レベルを上げるために助言する係のようなものだよ。日本や米国中心の組織の説明ではないので不正解だね。

選択肢エ

これはJPCERT/CCの説明だよ。日本で起きたセキュリティ事故の相談窓口みたいな役割で、「家に泥棒が入ったかも」と連絡を受けて技術的に助けるイメージだね。問われている組織の説明ではないので不正解だよ。