脆弱性情報データベース（CVE・JVN）とは？ぜいじゃくせいじょうほうでーたべーす
脆弱性情報データベース（CVE・JVN）とは、同じ脆弱性を誰もが同じ名前で呼べるようにするための、番号付けと公開の仕組み。CVEは世界共通の識別子を採番し、JVNは国内向けに日本語で対策情報を出す窓口で、JVN iPediaがその蓄積にあたる。製品名を共通表記するCPEと組み合わせ、自組織の資産と突き合わせて使う。
最終更新：2026-10-06
この語が出る過去問を解く →背景
かつては同じ欠陥を、発見者・製品ベンダ・セキュリティ企業がそれぞれ別の名前で発表していた。管理者は、自社の機器が該当するのか、複数の報告が同じものを指すのかを人手で照合するしかない。番号を一意に採って世界で共有すれば、報告・診断ツール・資産台帳を同じ鍵で結べる。応用情報では、識別・評価・分類という役割分担を押さえているかが問われる。
具体例
資産台帳にCPE形式で製品名とバージョンを記録しておけば、新しいCVEが公開されたときに影響する機器を機械的に抽出できる。台帳が製品名の自由記述だと突合できず、影響調査に何日もかかる。国内ではIPAとJPCERT/CCが共同でJVNを運営している。
試験での引っ掛け
CVEは識別子、CVSSは深刻度を点数化する評価基準、CWEは脆弱性の種類の分類、と役割が異なる。頭字語が似ているため入れ替えた選択肢が作られやすい。またCVE番号が付いたこと自体は深刻度を意味せず、対応の優先順位はCVSSの基本値に自組織の環境条件を重ねて判断する。
関連用語
出た過去問
出典：令和4年度 秋期 応用情報技術者試験 午前 問40（IPA）
JPCERTコーディネーションセンターとIPAとが共同で運営するJVNの目的として、最も適切なものはどれか。
正解：ソフトウェアの脆弱性関連情報とその対策情報とを提供し、情報セキュリティ対策に資する。
要点：JVNは脆弱性情報と対策情報を公開するポータル
JVN（Japan Vulnerability Notes）は、JPCERT/CCとIPAが共同運営する脆弱性対策情報のポータルサイトです。届出のあった製品の脆弱性情報と、修正版の提供状況などの対策情報を対にして公表し、利用者が速やかに対処できるようにすることを目的としています。
出典：令和6年度 秋期 応用情報技術者試験 午前 問41（IPA）
JVNなどの脆弱性情報サイトで採用されているCVE（Common Vulnerabilities and Exposures）識別子の説明はどれか。
正解：製品に含まれる脆弱性を識別するための識別子
要点：CVEは個々の脆弱性に付ける世界共通の一意な識別番号
CVEは、公表された個別の脆弱性に対して世界共通の一意な識別番号（CVE-年-連番）を割り当てる仕組みである。同じ脆弱性を各所が別名で呼ぶ混乱を防ぎ、製品やベンダーをまたいで情報を突き合わせられるようにすることが目的である。
出典・参考
公式シラバスの3 技術要素 ＞ 2. 情報セキュリティ管理 ＞ (7) 情報セキュリティ組織・機関に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。