最終更新日：2026年6月10日

sg sg-security-management sg-security-overview threat_vulnerability it_security_operations

まず結論

  • 脆弱性情報とは、ソフトウェアや機器に見つかった弱点について、影響、対象製品、対策方法などを知らせる情報です。
  • SG試験では、JVNは情報を公表・集約する場、CVEは脆弱性の識別番号、CVSSは深刻度を評価する指標として切り分けます。

直感的な説明

脆弱性情報は、製品のリコール情報に近いイメージです。

たとえば、ある部品に不具合が見つかった場合、次のような情報が必要になります。

  • どの製品が対象か
  • どんな不具合があるか
  • どのくらい危険か
  • どう対応すればよいか

ソフトウェアでも同じです。

脆弱性が公表されたとき、組織は自分たちのシステムが影響を受けるかを確認し、必要に応じて更新や設定変更を行います。

ここで出てくる代表的な用語が、JVN、CVE、CVSSです。

  • JVN：脆弱性情報を確認する場所
  • CVE：脆弱性を区別するための番号
  • CVSS：脆弱性の深刻度を示す点数

つまり、脆弱性情報では、どの弱点かをCVEで識別し、どれくらい危険かをCVSSで見て、JVNなどで対策情報を確認すると整理できます。

定義・仕組み

脆弱性情報には、一般に次のような内容が含まれます。

  • 対象製品や対象バージョン
  • 脆弱性の概要
  • 悪用された場合の影響
  • 回避策や修正方法
  • 修正済みバージョン
  • CVE番号
  • CVSSスコア

代表的な関連用語は次のとおりです。

用語 役割 判断ポイント
JVN 日本語で脆弱性対策情報を公表・提供するサイト 情報を確認する場所
JVN iPedia 国内外の脆弱性対策情報を集約したデータベース 検索・蓄積するデータベース
CVE 脆弱性を一意に識別するための番号 識別番号
CVSS 脆弱性の深刻度を評価する指標 危険度のスコア

JVNは、Japan Vulnerability Notesの略で、脆弱性対策情報を公表するための情報源です。脆弱性情報を確認する場合は、JVNやIPAの脆弱性対策情報が参考になります。

CVEは、Common Vulnerabilities and Exposuresの略です。公式情報は CVE Program で確認できます。

同じ脆弱性に対して、国や組織ごとに別々の名前を付けると混乱します。

そこで、CVE番号を使って「どの脆弱性の話をしているのか」を共通に識別します。採番形式は、CVE-西暦年-連番 の形で表されます。

SG試験では、CVEを「脆弱性を識別するID」として押さえます。

選択肢の表現 対応する用語 理由
既知の個別脆弱性を共通IDで管理する CVE 個別の脆弱性を一意に区別する識別子。
セキュリティ設定項目を標準IDで管理する CCE 設定項目の識別であり、脆弱性IDではない。
Web改ざんの証跡画像を管理する CVEではない CVEは画像や証跡ファイルを識別する仕組みではない。
製品・プラットフォーム名を識別する CPEなどの製品識別に近い CVEは製品そのものではなく、その製品等に存在する脆弱性を識別する。

CVSSは、Common Vulnerability Scoring Systemの略です。

脆弱性の深刻度を数値などで評価し、対応の優先度を考えるために使います。IPAの共通脆弱性評価システムCVSS概説では、CVSSの考え方が説明されています。

なお、JVNでは2025年4月21日からCVSS v4による評価を開始し、CVSS v3とあわせて掲載すると案内されています。試験対策としては、バージョンの細部よりも、CVSSは深刻度を評価する指標と押さえることが大切です。

どんな場面で使う？

脆弱性情報は、システムを安全に運用するために継続的に確認します。

たとえば、次のような場面です。

  • 利用中のソフトウェアに脆弱性が公表されたとき
  • OSやミドルウェアの更新要否を判断するとき
  • 外部ライブラリの脆弱性を確認するとき
  • 委託先が利用している製品の安全性を確認するとき
  • パッチ適用の優先順位を決めるとき
  • インシデント発生時に既知の脆弱性との関係を調べるとき

脆弱性情報を見たときは、まず自組織に関係があるかを確認します。

たとえば、次の順で確認すると整理しやすいです。

  1. 対象製品を使っているか
  2. 対象バージョンに該当するか
  3. 悪用された場合の影響は何か
  4. CVSSなどから深刻度を確認する
  5. 修正プログラムや回避策を確認する
  6. 業務影響を考えて対応時期を決める

SG試験では、単にCVSSの点数が高いか低いかだけで判断するのではなく、自組織で使っているか、影響があるか、対応できるかまで考える視点が重要です。

よくある誤解・混同

JVN、CVE、CVSSはセットで出てくるため、役割を混同しやすいです。

混同しやすい用語 よくある誤解 正しい理解
JVN 脆弱性そのものの番号 脆弱性情報を確認するサイト・情報源
CVE 危険度の点数 脆弱性を識別する番号
CVSS 脆弱性の名前 深刻度を評価する指標
パッチ 脆弱性情報 脆弱性を修正するプログラムや更新

SG試験では、次のような表現に注意します。

  • 「脆弱性を一意に識別する番号」 → CVEを疑います。

  • 「脆弱性の深刻度を数値化する」 → CVSSです。

  • 「国内外の脆弱性対策情報を確認する」 → JVNやJVN iPediaです。

  • 「修正プログラムを適用する」 → パッチ管理です。

類似略語の切り分け（CWE / CVE / CVSS / CPE / CCE）

SG試験では、Common で始まる略語の役割入替がよく出ます。 「何を識別・評価する用語か」を見ると、4択を切りやすくなります。

用語 何を表すか 選択肢を切る判断軸
CWE ソフトウェアの脆弱性タイプ（弱点の種類） 「脆弱性の種類の一覧」ならCWE
CVE 個別脆弱性の識別子（ID） 「脆弱性を一意に識別」ならCVE
CVSS 脆弱性の深刻度評価 「基本評価基準・環境評価基準」ならCVSS
CPE 製品・OS・ミドルウェアなどの製品識別 「プラットフォーム名の一覧」ならCPE
CCE セキュリティ設定項目の設定識別 「設定項目を識別」ならCCE

ひっかけの典型は、次の入れ替えです。

  • 「深刻度評価」をCVEやCWEと言い換える（誤り）
  • 「製品識別」をCVEやCWEと言い換える（誤り）
  • 「設定項目識別」をCVEやCWEと言い換える（誤り）

今回のように「CVEはどれか」と問われたら、 “個別の脆弱性を共通IDで区別する”という表現がある選択肢を優先すると正答率が上がります。

「CWEはどれか」と問われた場合は、 “脆弱性の種類”という表現がある選択肢を優先します。

よくあるひっかけは、CVE番号があるから危険度が分かると思うことです。

CVEは識別番号なので、それだけでは深刻度は分かりません。

危険度の目安にはCVSSを使います。

ただし、CVSSの点数だけで対応順を決めるのも危険です。

自社でその製品を使っているか、外部公開されているか、代替策があるか、業務停止の影響はどれくらいかも考える必要があります。

まとめ（試験直前用）

  • 脆弱性情報は、対象製品、影響、対策方法を知らせる情報です。
  • JVNは、脆弱性対策情報を確認する場所です。
  • CVEは、既知の個別脆弱性を一意に識別する番号です。
  • CVSSは、脆弱性の深刻度を評価する指標です。
  • CCEは設定項目、CPEは製品識別、CVEは脆弱性識別と分ける。
  • SG試験では、JVN＝情報源、CVE＝番号、CVSS＝深刻度で切り分けます。

確認問題

JVN、CVE、CVSSの関係として、最も適切なものはどれか。

ア. JVNは脆弱性の深刻度を数値化する指標であり、CVEは修正プログラムそのものである。 イ. CVEは脆弱性を一意に識別する番号であり、CVSSは脆弱性の深刻度を評価する指標である。 ウ. CVSSは脆弱性情報を公表する日本のサイトであり、JVNはソースコードを静的に解析する手法である。 エ. JVN、CVE、CVSSはいずれも端末を社内ネットワークへ接続してよいか判定する仕組みである。

回答と解説を表示 正解は **イ** です。 CVEは、脆弱性を一意に識別するための番号です。 CVSSは、脆弱性の深刻度を評価するための指標です。 JVNは、脆弱性対策情報を確認する情報源として整理します。 アはCVEとCVSSの役割が誤っています。 ウはJVNとCVSSの役割が入れ替わっています。 エは検疫ネットワークに近い説明であり、JVN、CVE、CVSSの説明ではありません。

© 2024-2026 stemtazoo. All rights reserved.