脆弱性診断とCVEとは？

脆弱性診断とCVEとは、脆弱性診断は、システムやソフトウェアに既知の脆弱性がないかを専用ツールなどで網羅的に検査すること。CVE（共通脆弱性識別子）は、公表された脆弱性ひとつひとつに割り当てられる世界共通の識別番号で、脆弱性情報を組織や国境を越えて共有・管理しやすくする。

基本情報技術者試験の過去問では1回出題されています。

ぜいじゃくせいしんだんとしーぶいいー

基本情報技術者試験の頻出用語／テクノロジ系／別名：脆弱性診断、CVE

脆弱性診断とCVEの意味

脆弱性診断は、システムやソフトウェアに既知の脆弱性がないかを専用ツールなどで網羅的に検査すること。CVE（共通脆弱性識別子）は、公表された脆弱性ひとつひとつに割り当てられる世界共通の識別番号で、脆弱性情報を組織や国境を越えて共有・管理しやすくする。

あるソフトウェアに脆弱性が発見されると、CVE番号が付与されて公開データベースに登録され、利用組織はその番号をもとに自社の該当ソフトウェアにパッチが必要かを確認できる。

CVEは脆弱性1件ごとの「識別番号」にすぎず、深刻度を数値で表す指標はCVSS。ほかに設定項目を識別するCCE、製品を識別するCPEがあり、この略語群の取り違えが頻出。診断は問題の検出までで、修正まで含むわけではない。

製造業のA社では、ECサイト（以下、A社のECサイトをAサイトという）を使用し、個人向けの製品販売を行っている。Aサイトは、A社の製品やサービスが検索可能で、ロ…
正解：項番1: B社, 項番2: C社, 項番3: B社
要点：PaaSではOS・ミドルは事業者、アプリは利用者側の責任
責任の分界点は、誰がその層を管理しているかで決まります。PaaSではOSやミドルウェアの管理は事業者側の範囲なので、アプリケーションサーバのOSとDBMSの既知の脆弱性への対処はPaaS提供者であるB社が担います。一方、クロスサイトスクリプティングはWebアプリケーションプログラムの脆弱性であり、委託契約で対策を担うと定めたC社が対処します。
出典：令和4年度 s 基本情報技術者試験 kamokuB 問17（IPA）

最終更新：2026-08-25／解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。