平成29年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問10
テクノロジ／セキュリティJVN などの脆弱性対策ポータルサイトで採用されている CVE（Common Vulnerabilities and Exposures）識別子の説明はどれか。
出典：平成29年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問10
- アコンピュータで必要なセキュリティ設定項目を識別するための識別子である。
- イ脆弱性が悪用されて改ざんされた Web サイトのスクリーンショットを識別するための識別子である。
- ウ製品に含まれる脆弱性を識別するための識別子である。
- エセキュリティ製品を識別するための識別子である。
正解：ウ
解説
CVE（Common Vulnerabilities and Exposures）は，個々のソフトウェア製品に含まれる既知の脆弱性を一意に識別するために，米国の非営利団体 MITRE が採番している識別子です。JVN などの脆弱性対策ポータルサイトでは，各脆弱性情報に CVE 識別子を付与することで，複数の情報源にまたがる脆弱性情報を横断的に参照できるようにしています。
選択肢ごとの解説
- ア誤り。コンピュータに必要なセキュリティ設定項目を識別する識別子は CCE（Common Configuration Enumeration）であり，CVE ではありません。
- イ誤り。改ざんされた Web サイトのスクリーンショットを識別する仕組みではありません。
- ウ正しい。CVE は製品に含まれる脆弱性を一意に識別するための識別子です。
- エ誤り。セキュリティ製品自体を識別する識別子ではありません。