脆弱性管理とパッチマネジメント（CVE・JVN）とは？

脆弱性管理とパッチマネジメント（CVE・JVN）の意味

自組織の資産で使っているソフトウェアを把握し、公表された脆弱性情報を継続的に収集して、影響度に応じた期限で修正プログラムを適用する一連の運用。CVEは脆弱性の共通識別番号、JVNは国内の脆弱性情報ポータルである。

脆弱性管理とパッチマネジメント（CVE・JVN）の具体例

資産台帳のソフトウェア構成情報とJVNの新着情報を毎日突合し、外部公開サーバに関わる重大な脆弱性は72時間以内、内部限定のものは次回定期メンテナンスまで、と適用期限を社内規程で定めて例外は責任者承認とする。

脆弱性管理とパッチマネジメント（CVE・JVN）は試験でどう引っ掛けられる？

CVEは「深刻度」ではなく「識別番号」である点に注意（深刻度はCVSSで表す）。またすぐ適用できない場合に何もしないのは誤りで、通信遮断や機能停止などの緩和策を暫定的に講じることが求められる。

脆弱性管理とパッチマネジメント（CVE・JVN）と関連する用語

• CVSS（共通脆弱性評価システム）
• 情報セキュリティ早期警戒パートナーシップとJ-CSIP・J-CRAT
• セキュリティ対策技術の基礎（ファイアウォール・パッチ・バックアップ）

脆弱性管理とパッチマネジメント（CVE・JVN）が出た過去問

• ソフトウェア製品の脆弱性を第三者が発見し、その脆弱性をJPCERTコーディネーションセンターが製品開発者に通知した。その場合における製品開発者の対応のうち、“情…

  正解：脆弱性情報の公表に関するスケジュールをJPCERTコーディネーションセンターと調整し、決定する。

  要点：製品開発者は調整機関と脆弱性の公表時期を調整する

  早期警戒パートナーシップでは、JPCERT/CCが調整機関として製品開発者と発見者の間に立ち、対策の準備状況を踏まえて公表時期を調整する。製品開発者は修正の見通しを共有しつつ、JPCERT/CCと公表スケジュールを決めるのが適切な対応である。JVNへの掲載や統計の公表は調整機関やIPAが行う役割である。

  出典：令和3年度 秋期 応用情報技術者試験 午前 問38（IPA）

• JPCERTコーディネーションセンターとIPAとが共同で運営するJVNの目的として、最も適切なものはどれか。

  正解：ソフトウェアの脆弱性関連情報とその対策情報とを提供し、情報セキュリティ対策に資する。

  要点：JVNは脆弱性情報と対策情報を公開するポータル

  JVN（Japan Vulnerability Notes）は、JPCERT/CCとIPAが共同運営する脆弱性対策情報のポータルサイトです。届出のあった製品の脆弱性情報と、修正版の提供状況などの対策情報を対にして公表し、利用者が速やかに対処できるようにすることを目的としています。

  出典：令和4年度 秋期 応用情報技術者試験 午前 問40（IPA）

• ソフトウェアの既知の脆弱性を一意に識別するために用いる情報はどれか。

  正解：CVE（Common Vulnerabilities and Exposures）

  要点：個別の脆弱性はCVE、深刻度はCVSS、種類はCWE

  CVEは、公表されたソフトウェアの脆弱性一つ一つにCVE-西暦-連番という共通の識別子を付ける仕組みである。ベンダーや製品を問わず同じ脆弱性を同じ番号で参照できるため、情報の突合せや対策状況の管理が容易になる。

  出典：令和5年度 春期 応用情報技術者試験 午前 問40（IPA）

• JVNなどの脆弱性情報サイトで採用されているCVE（Common Vulnerabilities and Exposures）識別子の説明はどれか。

  正解：製品に含まれる脆弱性を識別するための識別子

  要点：CVEは個々の脆弱性に付ける世界共通の一意な識別番号

  CVEは、公表された個別の脆弱性に対して世界共通の一意な識別番号（CVE-年-連番）を割り当てる仕組みである。同じ脆弱性を各所が別名で呼ぶ混乱を防ぎ、製品やベンダーをまたいで情報を突き合わせられるようにすることが目的である。

  出典：令和6年度 秋期 応用情報技術者試験 午前 問41（IPA）