令和6年度 春期 午前Ⅱ 問9

✓ これが正解エソフトウェア及びハードウェアの脆弱性の種類の一覧

解説

CWE は、ソフトウェアとハードウェアの脆弱性の種類の一覧です。

CWE（Common Weakness Enumeration）は、脆弱性をその種類、つまり弱点の型ごとに分類して番号を付けた一覧です。例えば、クロスサイトスクリプティングや SQL インジェクションといった型に、それぞれ識別番号が割り当てられています。個々の製品のどの脆弱性かを指すのではなく、どういう種類の作り込みの誤りかを共通の言葉で示すために使います。JVN などの脆弱性対策ポータルサイトでも、個別の脆弱性の情報に CWE の番号を添えて、種類が分かるようにしています。脆弱性に関わる識別子は似た名前が多いので、何を識別するものかで仕分けるのが確実です。

ほかの選択肢はなぜ違うのか

• アIT 製品の脆弱性を評価する手法：IT 製品の脆弱性を評価する手法は、CVSS と呼ばれるものの説明です。個々の脆弱性がどれだけ危険かを点数で表すための仕組みで、弱点を型ごとに並べた一覧ではありません。
• イ製品を識別するためのプラットフォーム名の…：製品を識別するためのプラットフォーム名の一覧は、CPE と呼ばれるものの説明です。対象はソフトウェアやハードウェアの製品名で、弱点の型を並べたものではありません。
• ウセキュリティに関連する設定項目を識別する…：セキュリティに関連する設定項目を識別するための識別子は、CCE と呼ばれるものの説明です。OS などの設定項目を指すための番号で、弱点の型を示すものではありません。