脆弱性診断とCVEとは？

脆弱性診断とCVEとは、脆弱性診断は、システムやソフトウェアに既知の脆弱性がないかを専用ツールなどで網羅的に検査すること。CVE（共通脆弱性識別子）は、公表された脆弱性ひとつひとつに割り当てられる世界共通の識別番号で、脆弱性情報を組織や国境を越えて共有・管理しやすくする。

高度試験・午前I（全区分共通）の過去問では1回出題されています。

ぜいじゃくせいしんだんとしーぶいいー

高度試験・午前I（全区分共通）の頻出用語／午前I（全区分共通）／別名：脆弱性診断、CVE

脆弱性診断とCVEの意味

脆弱性診断は、システムやソフトウェアに既知の脆弱性がないかを専用ツールなどで網羅的に検査すること。CVE（共通脆弱性識別子）は、公表された脆弱性ひとつひとつに割り当てられる世界共通の識別番号で、脆弱性情報を組織や国境を越えて共有・管理しやすくする。

あるソフトウェアに脆弱性が発見されると、CVE番号が付与されて公開データベースに登録され、利用組織はその番号をもとに自社の該当ソフトウェアにパッチが必要かを確認できる。

CVEは脆弱性1件ごとの「識別番号」にすぎず、深刻度を数値で表す指標はCVSS。ほかに設定項目を識別するCCE、製品を識別するCPEがあり、この略語群の取り違えが頻出。診断は問題の検出までで、修正まで含むわけではない。

JVNなどの脆弱性情報サイトで採用されているCVE（Common Vulnerabilities and Exposures）識別子の説明はどれか。
正解：製品に含まれる脆弱性を識別するための識別子
要点：CVEは個々の脆弱性に付けられる世界共通の識別番号
CVEは、公表されたソフトウェア製品の脆弱性一つ一つに世界共通の識別番号を付ける仕組みである。番号で指せるようになるため、複数のベンダーや情報サイトの間で同じ脆弱性を取り違えずに参照できる。
出典：令和6年度秋期高度共通_午前I試験 am1 問14（IPA）

最終更新：2026-08-25／解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。