平成27年度 春期 情報セキュリティスペシャリスト試験 午前Ⅱ 問7

✓ これが正解ウ製品に含まれる脆弱性を識別するための識別子である。

解説

CVE 識別子は製品に含まれる個々の脆弱性を識別します。

CVE は Common Vulnerabilities and Exposures の略で、公開された脆弱性の一つ一つに共通の番号を付ける仕組みです。同じ脆弱性でも、ベンダや情報サイトごとに呼び方が違うと、同じものか判断しにくくなります。共通の識別子があれば、JVN のような脆弱性対策ポータルサイトやベンダの告知の間で、同じ脆弱性を同じ番号で指せます。名前の中の Vulnerabilities という語から、識別する対象が脆弱性そのものだと分かります。

ほかの選択肢はなぜ違うのか

• アコンピュータで必要なセキュリティ設定項目…：コンピュータのセキュリティ設定項目を識別するための識別子は、設定項目を対象とする別の共通基準の説明です。識別する対象が設定であり、脆弱性そのものではありません。
• イ脆弱性が利用されて改ざんされた Web …：改ざんされた Web サイトのスクリーンショットに番号を付けて識別する共通の仕組みは、ありません。脆弱性という語を混ぜて、もっともらしく作られた記述です。
• エセキュリティ製品を識別するための識別子で…：製品を識別する番号は、製品名を共通の書き方で表す別の基準が受け持ちます。CVE が番号を付けるのは製品そのものではなく、製品に含まれる一つ一つの弱点です。