応用情報技術者試験 令和4年度 秋期 午前 問40

【正解】イ

JVNはJapan Vulnerability Notesの略で、JPCERTコーディネーションセンターとIPAが共同で運営する脆弱性対策情報のポータルサイトです。国内で使用されるソフトウェアなどについて、発見、届出された脆弱性の内容、影響を受ける製品やバージョン、想定される被害、開発者が示した修正版や回避策などを提供します。利用者や管理者が必要な対策を判断して実施できるようにすることが目的なので、イが正解です。

アの説明は誤りです。ソフトウェアに潜む脆弱性を検査によって見つけることは、脆弱性診断ツールやセキュリティテストの役割です。JVNの中心的な役割は、自ら脆弱性を検出することではなく、確認された脆弱性と対策の情報を公開することです。

ウの説明は誤りです。脆弱性の深刻度を共通の基準で評価する汎用的な手法には、CVSSがあります。JVNではCVSSによる評価値を掲載する場合がありますが、その評価手法自体の確立がJVNの目的ではありません。

エの説明は誤りです。ソフトウェアの弱点の種類を識別、分類するための共通基準には、CWEがあります。これは脆弱性の原因となる弱点を体系化したもので、JVNの目的とは異なります。

【ポイント】 JVNは脆弱性情報と、修正版の適用や回避策などの対策情報を結び付けて提供します。 CVSSは深刻度の評価、CWEは弱点の分類、JVNは脆弱性対策情報の提供です。 似た用語は「検出」、「評価」、「分類」、「情報提供」の役割で整理してください。