脆弱性管理とパッチマネジメント（CVE・JVN）とは？

脆弱性管理とパッチマネジメント（CVE・JVN）の意味

自組織の資産で使っているソフトウェアを把握し、公表された脆弱性情報を継続的に収集して、影響度に応じた期限で修正プログラムを適用する一連の運用。CVEは脆弱性の共通識別番号、JVNは国内の脆弱性情報ポータルである。

脆弱性管理とパッチマネジメント（CVE・JVN）の具体例

資産台帳のソフトウェア構成情報とJVNの新着情報を毎日突合し、外部公開サーバに関わる重大な脆弱性は72時間以内、内部限定のものは次回定期メンテナンスまで、と適用期限を社内規程で定めて例外は責任者承認とする。

脆弱性管理とパッチマネジメント（CVE・JVN）は試験でどう引っ掛けられる？

CVEは「深刻度」ではなく「識別番号」である点に注意（深刻度はCVSSで表す）。またすぐ適用できない場合に何もしないのは誤りで、通信遮断や機能停止などの緩和策を暫定的に講じることが求められる。

脆弱性管理とパッチマネジメント（CVE・JVN）と関連する用語

• CVSS（共通脆弱性評価システム）
• 情報セキュリティ早期警戒パートナーシップとJ-CSIP・J-CRAT

脆弱性管理とパッチマネジメント（CVE・JVN）が出た過去問

• JVNなどの脆弱性情報サイトで採用されているCVE（Common Vulnerabilities and Exposures）識別子の説明はどれか。

  正解：製品に含まれる脆弱性を識別するための識別子

  要点：CVEは個々の脆弱性に付けられる世界共通の識別番号

  CVEは、公表されたソフトウェア製品の脆弱性一つ一つに世界共通の識別番号を付ける仕組みである。番号で指せるようになるため、複数のベンダーや情報サイトの間で同じ脆弱性を取り違えずに参照できる。

  出典：令和6年度 秋期 高度共通_午前I試験 am1 問14（IPA）