SCAPとは？えすきゃっぷ
SCAPとは、脆弱性管理・測定・ポリシー準拠評価を自動化するためにNISTが定めた仕様群。CVE（脆弱性の識別）、CCE（設定項目の識別）、CPE（製品の識別）、CVSS（深刻度の評価）、XCCDF（チェックリスト記述）、OVAL（検査手順の記述）などから構成される。
最終更新：2026-10-06
この語が出る過去問を解く →具体例
500台のサーバが設定基準どおりか、手作業のチェックシートで年1回しか確認できていなかった。OVALで記述した検査手順とCPEによる製品識別を用いる構成管理ツールを導入し、日次で自動評価してCVSS 7.0以上の未対応を一覧化した。
試験での引っ掛け
構成要素の担当を取り違えやすい。CVE＝脆弱性の識別、CCE＝設定項目の識別、CPE＝製品の識別、CVSS＝深刻度の評価、XCCDF＝チェックリストの記述、OVAL＝検査手順の記述。特にCCEとCPE、XCCDFとOVAL（「何を確認するか」と「どう確認するか」）の対応が問われる。SCAP自体は脆弱性を検出する製品ではなく、記述形式を定めた仕様群である点も注意。
関連用語
出た過去問
出典：令和5年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問12（IPA）
脆弱性管理、測定、評価を自動化するためにNISTが策定した基準はどれか。
正解：SCAP (Security Content Automation Protocol)
要点：SCAPは脆弱性管理と評価を自動化するNISTの仕様群
SCAPは、脆弱性や設定に関する情報を機械可読な形式で表現し、その管理・測定・評価を自動化するためにNISTが定めた仕様群である。脆弱性の識別子であるCVE、深刻度を数値化するCVSS、設定項目の識別子CCE、製品識別子CPEなどの標準を組み合わせて構成される。共通の識別子を用いることで、異なる製品間で脆弱性情報を突き合わせ、自動的に評価できる。
出典・参考
公式シラバスの3 技術要素 ＞ 3. セキュリティ技術評価 ＞ (4) 脆弱性評価に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。