脆弱性管理とパッチマネジメント（CVE・JVN）とは？

脆弱性管理とパッチマネジメント（CVE・JVN）とは、自組織の資産で使っているソフトウェアを把握し、公表された脆弱性情報を継続的に収集して、影響度に応じた期限で修正プログラムを適用する一連の運用。CVEは脆弱性の共通識別番号、JVNは国内の脆弱性情報ポータルである。

ITパスポートの過去問では1回出題されています。

ぜいじゃくせいかんりとぱっちまねじめんと

ITパスポートの頻出用語／テクノロジ系／別名：脆弱性管理とパッチマネジメント、CVE・JVN、CVE、JVN

脆弱性管理とパッチマネジメント（CVE・JVN）の意味

自組織の資産で使っているソフトウェアを把握し、公表された脆弱性情報を継続的に収集して、影響度に応じた期限で修正プログラムを適用する一連の運用。CVEは脆弱性の共通識別番号、JVNは国内の脆弱性情報ポータルである。

資産台帳のソフトウェア構成情報とJVNの新着情報を毎日突合し、外部公開サーバに関わる重大な脆弱性は72時間以内、内部限定のものは次回定期メンテナンスまで、と適用期限を社内規程で定めて例外は責任者承認とする。

CVEは「深刻度」ではなく「識別番号」である点に注意（深刻度はCVSSで表す）。またすぐ適用できない場合に何もしないのは誤りで、通信遮断や機能停止などの緩和策を暫定的に講じることが求められる。

JPCERTコーディネーションセンターと情報処理推進機構（IPA）が共同運営するJVN（Japan Vulnerability Notes）で，“JVN#123…
正解：ソフトウェアなどの脆弱性関連情報とその対策
要点：JVNは脆弱性情報と対策を識別子付きで公開する仕組み
JVNは、国内で使われるソフトウェア製品の脆弱性情報と、その対策情報を集約して公表する仕組みである。届出を受けて調整された脆弱性には固有の識別番号が付けられ、影響を受ける製品や想定される被害、対策方法とともに公開される。ライセンス情報や定義ファイルの版数、工業規格を扱う仕組みではない。
出典：平成30年度春期 ITパスポート試験問82（IPA）

最終更新：2026-08-25／解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。