令和3年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問8

CVE (Common Vulnerabilities and Exposures) とは、ソフトウェアやハードウェアの製品に含まれる 脆弱性を一意に識別するため に付与される識別子です。
アメリカの非営利団体であるMITRE社が採番し、管理を行っています。「CVE-西暦-連番」という形式で表され、複数の組織間で脆弱性情報を共通の名前で共有・連携するために用いられます。
JVN (Japan Vulnerability Notes) などの脆弱性対策情報ポータルサイトでも、脆弱性の特定に広く採用されています。
したがって、製品に含まれる脆弱性を識別するための識別子である「ウ」が正解となります。

各選択肢の解説

• ア: コンピュータで必要なセキュリティ設定項目を識別するための識別子は、CCE (Common Configuration Enumeration) の説明です。
• イ: 脆弱性が悪用されて改ざんされたWebサイトのスクリーンショットを識別するための標準的な識別子は存在しません。不適切な説明です。
• ウ: 正解です。CVEは製品に含まれる 脆弱性を識別するため の識別子です。
• エ: 情報システムを構成するハードウェアやソフトウェアなどのプラットフォームを識別するための識別子は、CPE (Common Platform Enumeration) の説明です。