脆弱性情報データベース（CVE・JVN）とは？

脆弱性情報データベース（CVE・JVN）の意味

個々の脆弱性に一意の識別子を付けて公開する仕組み。CVEは世界共通の採番、JVNは国内向けに対策情報を提供する窓口で、JVN iPediaが日本語の脆弱性データベースにあたる。製品名を共通表記するCPEと組み合わせ、自組織の資産と脆弱性を突き合わせる。

脆弱性情報データベース（CVE・JVN）の具体例

資産台帳にCPE形式で製品とバージョンを記録しておけば、新しいCVEが公開されたときに影響する機器を機械的に抽出できる。台帳が製品名の自由記述だと突合できず、影響調査に何日もかかるという運用差が生まれる。

脆弱性情報データベース（CVE・JVN）は試験でどう引っ掛けられる？

CVEは「識別子」、CVSSは「深刻度の点数」、CWEは「脆弱性の種類の分類」と役割が異なる。名前が似ているため入れ替えた選択肢が作られやすく、頭字語の意味で判断すると誤る。

脆弱性情報データベース（CVE・JVN）と関連する用語

• CVSS（共通脆弱性評価システム）
• Webアプリケーションの脆弱性（基礎の分類）
• 組織的セキュリティ対策の基礎（ISMS・リスクアセスメント）

脆弱性情報データベース（CVE・JVN）が出た過去問

• JVNなどの脆弱性情報サイトで採用されているCVE（Common Vulnerabilities and Exposures）識別子の説明はどれか。

  正解：製品に含まれる脆弱性を識別するための識別子

  要点：CVEは個々の脆弱性に付けられる世界共通の識別番号

  CVEは、公表されたソフトウェア製品の脆弱性一つ一つに世界共通の識別番号を付ける仕組みである。番号で指せるようになるため、複数のベンダーや情報サイトの間で同じ脆弱性を取り違えずに参照できる。

  出典：令和6年度 秋期 高度共通_午前I試験 am1 問14（IPA）