脆弱性情報データベース（CVE・JVN）とは？

脆弱性情報データベース（CVE・JVN）の意味

個々の脆弱性に一意の識別子を付けて公開する仕組み。CVEは世界共通の採番、JVNは国内向けに対策情報を提供する窓口で、JVN iPediaが日本語の脆弱性データベースにあたる。製品名を共通表記するCPEと組み合わせ、自組織の資産と脆弱性を突き合わせる。

脆弱性情報データベース（CVE・JVN）の具体例

資産台帳にCPE形式で製品とバージョンを記録しておけば、新しいCVEが公開されたときに影響する機器を機械的に抽出できる。台帳が製品名の自由記述だと突合できず、影響調査に何日もかかるという運用差が生まれる。

脆弱性情報データベース（CVE・JVN）は試験でどう引っ掛けられる？

CVEは「識別子」、CVSSは「深刻度の点数」、CWEは「脆弱性の種類の分類」と役割が異なる。名前が似ているため入れ替えた選択肢が作られやすく、頭字語の意味で判断すると誤る。

脆弱性情報データベース（CVE・JVN）と関連する用語

• CVSS（共通脆弱性評価システム）
• Webアプリケーションの脆弱性（基礎の分類）
• 組織的セキュリティ対策の基礎（ISMS・リスクアセスメント）