脆弱性管理とCVE・CVSSとは？

脆弱性管理とCVE・CVSSの意味

自組織の資産に存在する脆弱性を把握し、危険度に応じて優先順位を付けて対処する継続的な活動。個々の脆弱性には共通の識別子（CVE）が振られ、深刻度は基本評価基準・現状評価基準・環境評価基準からなるCVSSで0.0〜10.0の値として表される。

脆弱性管理とCVE・CVSSの具体例

資産管理台帳とソフトウェア構成情報を突き合わせ、CVSSの基本値が9.0以上かつインターネットから到達可能なものを最優先で対処する。同じCVSSでも、内部限定のサーバなら環境評価基準で下方修正し、期限を分けて計画的に処理する。

脆弱性管理とCVE・CVSSは試験でどう引っ掛けられる？

CVSSの基本値は攻撃されやすさと影響の大きさを一般論で示す指標にすぎず、自組織の実リスクではない。値が高い順に機械的に着手するのではなく、公開範囲や実際に攻撃コードが出回っているかを現状評価基準・環境評価基準で加味する点が問われる。またCVEは個別の脆弱性へ振る識別子であって、深刻度を表すものではない点も混同されやすい。

脆弱性管理とCVE・CVSSと関連する用語

• パッチ管理と仮想パッチ
• ペネトレーションテストと脆弱性診断
• サプライチェーン攻撃とSBOM
• ゼロデイ攻撃
• ポートスキャンとフットプリンティング

脆弱性管理とCVE・CVSSが出た過去問

• JVNなどの脆弱性情報サイトで採用されているCVE（Common Vulnerabilities and Exposures）識別子の説明はどれか。

  正解：製品に含まれる脆弱性を識別するための識別子

  要点：CVEは個々の脆弱性に付けられる世界共通の識別番号

  CVEは、公表されたソフトウェア製品の脆弱性一つ一つに世界共通の識別番号を付ける仕組みである。番号で指せるようになるため、複数のベンダーや情報サイトの間で同じ脆弱性を取り違えずに参照できる。

  出典：令和6年度 秋期 高度共通_午前I試験 am1 問14（IPA）

• ソフトウェアの情報セキュリティ対策のうち、SBOM（Software Bill Of Materials）管理ツールを用いることができるものはどれか。

  正解：ソフトウェアについての脆弱性管理

  要点：SBOMは構成部品を把握し脆弱性の影響範囲を特定する

  SBOMはソフトウェアを構成する部品（OSSライブラリ等）とそのバージョンを一覧化した部品表である。管理ツールで構成部品を機械的に把握しておけば、新たな脆弱性情報が公表されたときに影響を受ける製品やシステムを速やかに特定でき、脆弱性管理に役立つ。

  出典：令和7年度 春期 高度共通_午前I試験 am1 問13（IPA）