CVSS・CVE・CWEとは？

CVSS・CVE・CWEの意味

脆弱性を共通の物差しで扱うための仕組み。CVEは個々の脆弱性に付ける一意の識別番号、CWEは脆弱性の種類を分類する体系、CVSSは深刻度を0.0〜10.0で表す評価基準。組織横断で情報を突き合わせ、対応の優先順位を決める根拠として使われる。

CVSS・CVE・CWEの具体例

CVSSは、攻撃元区分や必要な権限などから求める基本評価基準に加え、攻撃コードの有無を反映する現状評価基準、自組織での資産価値を反映する環境評価基準がある。同じ基本値でも、外部公開サーバか閉域内かで優先度は変わる。

CVSS・CVE・CWEは試験でどう引っ掛けられる？

CVSS基本値だけで対応順を決めるのは誤り。値は脆弱性そのものの性質を表すだけで、自組織での影響や悪用の現実性は環境・現状の評価で補う必要がある。CVEは分類ではなく個別の採番、CWEは種別の分類という違いも問われる。

CVSS・CVE・CWEと関連する用語

• ペネトレーションテストと脆弱性診断
• セキュリティ対策技術の基礎（ファイアウォール・パッチ・バックアップ）
• 組織的セキュリティ対策の基礎（ISMS・リスクアセスメント）
• ゼロデイ攻撃
• サプライチェーン攻撃とSBOM

CVSS・CVE・CWEが出た過去問

• 基本評価基準、現状評価基準、環境評価基準の三つの基準で情報システムの脆弱性の深刻度を評価するものはどれか。

  正解：CVSS

  要点：CVSSは基本・現状・環境の3基準で脆弱性を採点する

  CVSS（Common Vulnerability Scoring System）は、脆弱性の深刻度を共通の尺度で数値化する仕組みで、脆弱性そのものの特性を表す基本評価基準、時間経過による状況を表す現状評価基準、利用環境を加味した環境評価基準の3つで構成される。ベンダに依存しない共通指標として広く使われている。

  出典：令和3年度 秋期 応用情報技術者試験 午前 問41（IPA）

• ソフトウェアの既知の脆弱性を一意に識別するために用いる情報はどれか。

  正解：CVE（Common Vulnerabilities and Exposures）

  要点：個別の脆弱性はCVE、深刻度はCVSS、種類はCWE

  CVEは、公表されたソフトウェアの脆弱性一つ一つにCVE-西暦-連番という共通の識別子を付ける仕組みである。ベンダーや製品を問わず同じ脆弱性を同じ番号で参照できるため、情報の突合せや対策状況の管理が容易になる。

  出典：令和5年度 春期 応用情報技術者試験 午前 問40（IPA）

• JVNなどの脆弱性情報サイトで採用されているCVE（Common Vulnerabilities and Exposures）識別子の説明はどれか。

  正解：製品に含まれる脆弱性を識別するための識別子

  要点：CVEは個々の脆弱性に付ける世界共通の一意な識別番号

  CVEは、公表された個別の脆弱性に対して世界共通の一意な識別番号（CVE-年-連番）を割り当てる仕組みである。同じ脆弱性を各所が別名で呼ぶ混乱を防ぎ、製品やベンダーをまたいで情報を突き合わせられるようにすることが目的である。

  出典：令和6年度 秋期 応用情報技術者試験 午前 問41（IPA）