平成26年度 春期 情報セキュリティスペシャリスト試験 午前Ⅱ 問14

✓ これが正解エソフトウェアの脆弱性の種類の一覧

解説

CWE はソフトウェアの脆弱性を種類ごとに分けた一覧です。

CWE は Common Weakness Enumeration の略で、ソフトウェアの弱点、つまり脆弱性の種類を列挙した一覧です。たとえば、クロスサイトスクリプティングや SQL インジェクションといった種類ごとに識別番号が振られています。JVN などのポータルサイトでは、個々の脆弱性がどの種類に当たるかを示すのに使われます。似た略称の仕組みがいくつもあるので、見分ける軸は、何を識別したり評価したりするための仕組みかです。

ほかの選択肢はなぜ違うのか

• ア基本評価基準，現状評価基準，環境評価基準…：基本評価基準・現状評価基準・環境評価基準の三つで深刻度を測るのは、CVSS と呼ばれる評価手法です。脆弱性を種類で分けて並べたものではありません。
• イ製品を識別するためのプラットフォーム名の…：製品を識別するプラットフォーム名の一覧は、CPE と呼ばれる仕組みです。どの製品やバージョンかを特定するためのもので、弱点の種類を分類するものではありません。
• ウセキュリティに関連する設定項目を識別する…：セキュリティの設定項目に識別子を振るのは、CCE と呼ばれる仕組みです。システムの設定を管理するためのもので、弱点の種類を列挙したものではありません。