---
title: "脆弱性対応の流れ【SG試験】"
description: "脆弱性対策は情報収集・評価・対策の3ステップで行います。本記事ではJVN・CVSS・脆弱性検査・ペネトレーションテスト・ファジングの違いを整理し、SG試験・情報セキュリティマネジメント試験で迷わない判断基準をまとめます。"
last_modified_at: "2026-07-06"
canonical_url: "https://stemtazoo.github.io/sg/vulnerability-cheatsheet/"
section: "sg"
---

## まず結論
- 脆弱性対策は **「収集 → 評価 → 対策」** の3ステップ  
- SG試験ではこの3つを**混同させる問題が多い**  
- 👉 **「どの役割か」で切るのが最重要**

---

## 直感的な説明

脆弱性対応は流れで考えると簡単です👇  

1. 情報を集める  
2. 危険度を判断する  
3. 対策する  

👉 これを担当する用語が違うだけです  

---

## 定義・仕組み

> 公式: JVN iPedia（脆弱性対策情報）：[公式: JVN iPedia（脆弱性対策情報）](https://jvndb.jvn.jp/)

### 全体マップ（最重要）

| ステップ | 用語 | 役割 |
|----------|------|------|
| 収集 | JVN | 情報を集める |
| 評価 | CVSS | 危険度を決める |
| 対策① | 脆弱性検査 | 弱点を見つける |
| 対策② | ペネトレーションテスト | 攻撃して確認 |
| 対策③ | ファジング | 異常入力で検証 |

👉 **この表を覚えればOK**

---

### 関連記事で確認する

| ステップ | 代表記事 | 判断基準 |
|---|---|---|
| 情報収集 | [JVNとは？脆弱性情報の見方とJVN iPediaとの違い](https://stemtazoo.github.io/sg/jvn/) | 公開された脆弱性情報を見る |
| 評価 | [CVSSとは？脆弱性の深刻度を共通スコアで判断する](https://stemtazoo.github.io/sg/cvss/) | 深刻度・優先度を点数で判断する |
| 検出 | [脆弱性スキャンとは？自動検査で弱点を見つける仕組み](https://stemtazoo.github.io/sg/vulnerability-scan/) | 弱点がないか確認する |
| 侵入確認 | [脆弱性診断とペネトレーションテストの違いとは？目的で整理](https://stemtazoo.github.io/sg/vulnerability-assessment-penetration-test/) | 実際に侵入できるか試す |
| 異常入力 | [ファジングとは？未知の脆弱性を見つける検査手法](https://stemtazoo.github.io/sg/fuzzing/) | 想定外入力で落ちないか見る |
| ネットワーク確認 | [ポートスキャンとは？管理目的と攻撃目的の違い](https://stemtazoo.github.io/sg/port-scan/) | 開いているポートを確認する |
| 運用対策 | [パッチ管理とは？修正プログラムを適用する運用](https://stemtazoo.github.io/sg/patch-management/) | 修正プログラムを計画的に適用する |
| テスト全体 | [セキュリティテストの種類まとめ](https://stemtazoo.github.io/sg/security-testing-types/) | SAST・DAST・診断などを整理する |
| 開発時対策 | [セキュアコーディングとは？脆弱性を作り込まない考え方](https://stemtazoo.github.io/sg/secure-coding/) | 実装段階で弱点を減らす |
| 静的検査 | [SASTとは？ソースコードを実行せずに検査する仕組み](https://stemtazoo.github.io/sg/sast/) | 実行前にコードを調べる |
| 動的検査 | [DASTとは？実行中のアプリを検査する仕組み](https://stemtazoo.github.io/sg/dast/) | 実行中のアプリを外側から調べる |

## どんな場面で使う？

### 正しい流れ

- JVNで情報を確認  
- CVSSで優先度を判断  
- 検査・テストで対策  

---

### よくある誤り（ここ重要）

- ❌ CVSSで対策する  
- ❌ JVNが検査を行う  
- ❌ ペンテストで評価する  

👉 **役割ズレ＝不正解**

---

## よくある誤解・混同

### ① 最重要ひっかけ

👉 SG試験はここを狙う  

- 「評価」なのに対策している  
- 「情報」なのに実務している  

---

### ② 用語の切り分け

- JVN → 情報  
- CVSS → 評価  
- 検査 → 検出  
- ペンテスト → 攻撃  
- ファジング → 入力  

### ②-2 似た略語の一問一答（CWE/CVE/CVSS/CPE/CCE）

| 問われ方 | 答える用語 |
|---|---|
| 脆弱性の**種類**を体系化した一覧 | CWE |
| 脆弱性を**一意に識別**する番号 | CVE |
| 脆弱性の**深刻度**を評価する指標 | CVSS |
| 製品・OSなど**プラットフォーム名**の識別 | CPE |
| セキュリティ**設定項目**の識別子 | CCE |

👉 SG試験では、**「種類」「識別」「評価」**の動詞で切ると誤答を減らせます。

---

### ③ ペネトレーション vs ファジング

- ペンテスト：侵入できるか  
- ファジング：壊れるか  

---

### ④ 検査 vs ペンテスト

- 検査：自動  
- ペンテスト：人  

---

## まとめ（試験直前用）

### 最短ルール

- 「情報を見る」→ JVN  
- 「危険度を判断」→ CVSS  
- 「弱点を見つける」→ 検査  
- 「攻撃して確認」→ ペンテスト  
- 「異常入力」→ ファジング  

---

### 最終判断フレーム

1. 情報か？ → JVN  
2. 評価か？ → CVSS  
3. 攻撃か？ → ペンテスト  
4. 入力か？ → ファジング  
5. 検出か？ → 検査  

👉 **動詞で切る**

---

### 最後に一言

👉 **SGは「役割ズレを見抜く試験」**

## 次に読むなら

1. [JVNとは？脆弱性情報の見方とJVN iPediaとの違い](https://stemtazoo.github.io/sg/jvn/)
2. [CVSSとは？脆弱性の深刻度を共通スコアで判断する](https://stemtazoo.github.io/sg/cvss/)
3. [脆弱性スキャンとは？自動検査で弱点を見つける仕組み](https://stemtazoo.github.io/sg/vulnerability-scan/)
4. [セキュリティテストの種類まとめ](https://stemtazoo.github.io/sg/security-testing-types/)