令和5年度 春期 応用情報技術者試験 午前 問40

テクノロジセキュリティ技術

この問題は2023(R5)春 応用情報技術者 午前に出題されたものです。出題時点の法令・制度に基づく内容のため、現行の内容と一致しない場合があります。

本ページの問題文・選択肢は、原本の体裁を Web 表示用に正規化しています（改行・記号・数式・図表参照の調整）。設問の趣旨および正解に影響する変更は加えていません。

ソフトウェアの既知の脆弱性を一意に識別するために用いる情報はどれか。

解答・解説を読む

正解: 選択肢イ

正解は イ の CVE (Common Vulnerabilities and Exposures) です。

CVE は、個別のソフトウェア製品等における既知の脆弱性を一意に識別するための共通基準です。脆弱性ごとに「CVE-YYYY-NNNN」という形式で識別子が割り当てられ、世界中のセキュリティ関連組織やツール間で脆弱性情報を共有する際に利用されます。

各選択肢の解説

  • ア. CCE (Common Configuration Enumeration)
    コンピュータやネットワーク機器などのセキュリティに関する設定項目を識別するための共通基準です。脆弱性そのものではなく、設定上の問題を扱います。

  • イ. CVE (Common Vulnerabilities and Exposures)
    正解です。ソフトウェアの既知の脆弱性に一意の識別子を付与し、情報を共有するために用いられます。

  • ウ. CVSS (Common Vulnerability Scoring System)
    脆弱性の深刻度（重大性）を評価・数値化するための共通基準（スコアリングシステム）です。脆弱性を識別するためのものではありません。

  • エ. CWE (Common Weakness Enumeration)
    ソフトウェアにおける脆弱性の原因となる弱点（種類や原因）を分類し、識別するための共通基準です。「SQLインジェクション」や「バッファオーバーフロー」などの分類を扱いますが、個別の脆弱性を一意に識別するものではありません。