令和6年度 秋期 プロジェクトマネージャ試験 データベーススペシャリスト試験 エンベデッドシステムスペシャリスト試験 システム監査技術者試験 情報処理安全確保支援士試験 午前 I 問題 【共通】 問14

テクノロジセキュリティ技術脆弱性管理・セキュリティ監視

JVNなどの脆弱性情報サイトで採用されているCVE (Common Vulnerabilities and Exposures) 識別子の説明はどれか。

解答・解説

正解: ウ. 製品に含まれる脆弱性を識別するための識別子

CVE (Common Vulnerabilities and Exposures) とは、ソフトウェアやハードウェアの脆弱性に一意の識別番号（CVE識別子）を付与することで、様々な脆弱性情報データベースやツール間で脆弱性情報を相互に紐付け、参照できるようにするための仕組みです。日本ではJVN (Japan Vulnerability Notes) などの脆弱性情報サイトで広く採用されています。
したがって、正解は「ウ」です。

各選択肢の解説

  • ア：コンピュータで必要なセキュリティ設定項目を識別するための識別子は、CCE (Common Configuration Enumeration) の説明です。
  • イ：脆弱性が悪用されて改ざんされたWebサイトのスクリーンショットを識別するための共通識別子は特に定義されていません。
  • ウ：正解。製品に含まれる脆弱性を識別するための識別子であり、CVE (Common Vulnerabilities and Exposures) の説明です。
  • エ：セキュリティ製品を含むIT製品やシステムの種別（プラットフォーム）を識別するための識別子は、CPE (Common Platform Enumeration) の説明です。

Spineチーム