平成30年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問2
テクノロジ／セキュリティJVN などの脆弱性対策情報ポータルサイトで採用されている CVE（Common Vulnerabilities and Exposures）識別子の説明はどれか。
出典：平成30年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問2
- アコンピュータで必要なセキュリティ設定項目を識別するための識別子
- イ脆弱性が悪用されて改ざんされた Web サイトのスクリーンショットを識別するための識別子
- ウ製品に含まれる脆弱性を識別するための識別子
- エセキュリティ製品を識別するための識別子
正解：ウ
解説
CVE（Common Vulnerabilities and Exposures）識別子は，個々のソフトウェア製品に含まれる既知の脆弱性一つ一つに対して付与される一意の識別番号であり，JVN などの脆弱性対策情報ポータルサイトでも脆弱性情報の管理・参照に利用されています。
選択肢ごとの解説
- ア誤り。コンピュータのセキュリティ設定項目を識別するための識別子は CCE（Common Configuration Enumeration）です。
- イ誤り。改ざんされた Web サイトのスクリーンショットを識別する仕組みは CVE の役割ではありません。
- ウ正しい。CVE 識別子は，製品に含まれる個々の脆弱性を一意に識別するための識別子です。
- エ誤り。セキュリティ製品を識別するための識別子は CPE（Common Platform Enumeration）などであり，CVE ではありません。