CPE（共通プラットフォーム一覧）とは？しーぴーいー
CPE（共通プラットフォーム一覧）とは、ハードウェア、OS、アプリケーションを、種別・ベンダ・製品名・バージョンという決まった並びで機械が読める形に表す命名規則。脆弱性情報と自組織の資産台帳を突き合わせ、影響範囲を機械的に洗い出すための共通の鍵で、SCAPを構成する仕様のひとつに位置づけられる。
最終更新：2026-10-06
情報処理安全確保支援士を最短で暗記・合格する →背景
同じ製品でも、台帳には社内の呼び名、公表される脆弱性情報にはベンダの正式名称、という具合に表記が食い違う。人が目で照合していては、公表から適用までの時間が延びるだけでなく、対象の数が増えた時点で破綻する。名前の書き方そのものを規格として固定したのがこの仕様で、照合を自動化する土台になっている。
具体例
NVDは各CVEに、影響を受ける製品とバージョン範囲をCPEの形で付けている。資産管理ツールが検出したソフトウェアへ同じ表記を持たせておけば、脆弱性が公表された時点で該当台数を一覧できる。SBOMの部品表と組み合わせれば、製品へ同梱されたライブラリまで追える。
試験での引っ掛け
CVEは個々の脆弱性、CWEは弱点の種類、CVSSは深刻度、CPEは製品の識別と、役割の分かれた四つを取り違えないこと。また同じ製品へ複数のCPEが割り当てられたり、そもそも付与されなかったりするため、一致しないという理由だけで影響なしと結論づけると取りこぼす。
関連用語
出典・参考
公式シラバスの3 技術要素 ＞ 3. セキュリティ技術評価 ＞ (4) 脆弱性評価に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。