解説

CVE（Common Vulnerabilities and Exposures）は、ソフトウェアやハードウェアの脆弱性を一意に識別するための国際標準の識別子体系です。MITRE Corporationが管理し、各脆弱性にCVE-[年]-[番号]の形式（例：CVE-2021-44228）で識別子が付与されます。JVN（Japan Vulnerability Notes）などの脆弱性対策情報ポータルサイトや、セキュリティ製品（IDS/IPS、脆弱性スキャナ、SIEM）でもCVE識別子が採用されており、異なる組織・製品間で脆弱性情報を一元的に参照できます。CVEはIPAが管理するJVNにも採用されており、日本語の脆弱性情報とCVEが対応付けられています。なお、CVSSスコアはCVEに対する深刻度評価指標ですが、CVSSとCVEは別の仕組みです。

なぜ他の選択肢は違うのか

選択肢 ア

「コンピュータで必要なセキュリティ設定項目を識別するための識別子」はCCE（Common Configuration Enumeration）の説明です。CCEはシステムの設定（コンフィギュレーション）の識別子であり、脆弱性（ソフトウェアの欠陥）を識別するCVEとは対象が異なります。

選択肢 イ

「脆弱性が悪用されて改ざんされたWebサイトのスクリーンショットを識別するための識別子」はCVEに対応する現実の識別子ではありません。このような用途の識別子体系はCVEとは無関係です。改ざんサイトの記録はセキュリティインシデントのログであり、体系的な識別子は存在しません。

選択肢 エ

「セキュリティ製品の種別を識別するための識別子」はCPE（Common Platform Enumeration）に近い概念ですが、製品種別の識別とも異なります。CPEはハードウェア・ソフトウェア・OSを識別するための識別子であり、セキュリティ製品の種別分類ではありません。CVEは製品ではなく脆弱性を識別します。

解くときのポイント

セキュリティ識別子の3つを整理：CVE＝「脆弱性（バグ）の識別子」、CCE＝「設定ミスの識別子」、CPE＝「製品・プラットフォームの識別子」。これらはSCAPフレームワークを構成する要素。CVSSはCVEの深刻度スコア（別物）。「JVNが採用」はCVEの特徴。