---
title: "脆弱性情報とは？JVN・CVE・CVSSの関係【SG試験】"
description: "脆弱性情報は、ソフトウェアや機器の弱点、影響、対策を知らせる情報です。SG試験で迷いやすいJVN、CVE、CVSSの役割の違いを整理します。 試験対策として重要語の定義・具体例・よくある誤解をまとめ、短時間で復習できるように整理しています。"
last_modified_at: "2026-06-10"
canonical_url: "https://stemtazoo.github.io/sg/vulnerability-information-jvn-cve-cvss/"
section: "sg"
---

## まず結論
- **脆弱性情報**とは、ソフトウェアや機器に見つかった弱点について、影響、対象製品、対策方法などを知らせる情報です。
- SG試験では、**JVNは情報を公表・集約する場、CVEは脆弱性の識別番号、CVSSは深刻度を評価する指標**として切り分けます。

## 直感的な説明
脆弱性情報は、製品の**リコール情報**に近いイメージです。

たとえば、ある部品に不具合が見つかった場合、次のような情報が必要になります。

- どの製品が対象か
- どんな不具合があるか
- どのくらい危険か
- どう対応すればよいか

ソフトウェアでも同じです。

脆弱性が公表されたとき、組織は自分たちのシステムが影響を受けるかを確認し、必要に応じて更新や設定変更を行います。

ここで出てくる代表的な用語が、JVN、CVE、CVSSです。

- JVN：脆弱性情報を確認する場所
- CVE：脆弱性を区別するための番号
- CVSS：脆弱性の深刻度を示す点数

つまり、脆弱性情報では、**どの弱点かをCVEで識別し、どれくらい危険かをCVSSで見て、JVNなどで対策情報を確認する**と整理できます。

## 定義・仕組み
脆弱性情報には、一般に次のような内容が含まれます。

- 対象製品や対象バージョン
- 脆弱性の概要
- 悪用された場合の影響
- 回避策や修正方法
- 修正済みバージョン
- CVE番号
- CVSSスコア

代表的な関連用語は次のとおりです。

| 用語 | 役割 | 判断ポイント |
|---|---|---|
| JVN | 日本語で脆弱性対策情報を公表・提供するサイト | 情報を確認する場所 |
| JVN iPedia | 国内外の脆弱性対策情報を集約したデータベース | 検索・蓄積するデータベース |
| CVE | 脆弱性を一意に識別するための番号 | 識別番号 |
| CVSS | 脆弱性の深刻度を評価する指標 | 危険度のスコア |

JVNは、Japan Vulnerability Notesの略で、脆弱性対策情報を公表するための情報源です。脆弱性情報を確認する場合は、[JVN](https://jvn.jp/)やIPAの[脆弱性対策情報](https://www.ipa.go.jp/security/vuln/index.html)が参考になります。

CVEは、Common Vulnerabilities and Exposuresの略です。公式情報は [CVE Program](https://www.cve.org/) で確認できます。

同じ脆弱性に対して、国や組織ごとに別々の名前を付けると混乱します。

そこで、CVE番号を使って「どの脆弱性の話をしているのか」を共通に識別します。採番形式は、`CVE-西暦年-連番` の形で表されます。

SG試験では、CVEを「脆弱性を識別するID」として押さえます。

| 選択肢の表現 | 対応する用語 | 理由 |
|---|---|---|
| 既知の個別脆弱性を共通IDで管理する | CVE | 個別の脆弱性を一意に区別する識別子。 |
| セキュリティ設定項目を標準IDで管理する | CCE | 設定項目の識別であり、脆弱性IDではない。 |
| Web改ざんの証跡画像を管理する | CVEではない | CVEは画像や証跡ファイルを識別する仕組みではない。 |
| 製品・プラットフォーム名を識別する | CPEなどの製品識別に近い | CVEは製品そのものではなく、その製品等に存在する脆弱性を識別する。 |

CVSSは、Common Vulnerability Scoring Systemの略です。

脆弱性の深刻度を数値などで評価し、対応の優先度を考えるために使います。IPAの[共通脆弱性評価システムCVSS概説](https://www.ipa.go.jp/security/vuln/scap/cvss.html)では、CVSSの考え方が説明されています。

なお、JVNでは2025年4月21日からCVSS v4による評価を開始し、CVSS v3とあわせて掲載すると案内されています。試験対策としては、バージョンの細部よりも、**CVSSは深刻度を評価する指標**と押さえることが大切です。

## どんな場面で使う？
脆弱性情報は、システムを安全に運用するために継続的に確認します。

たとえば、次のような場面です。

- 利用中のソフトウェアに脆弱性が公表されたとき
- OSやミドルウェアの更新要否を判断するとき
- 外部ライブラリの脆弱性を確認するとき
- 委託先が利用している製品の安全性を確認するとき
- パッチ適用の優先順位を決めるとき
- インシデント発生時に既知の脆弱性との関係を調べるとき

脆弱性情報を見たときは、まず自組織に関係があるかを確認します。

たとえば、次の順で確認すると整理しやすいです。

1. 対象製品を使っているか
2. 対象バージョンに該当するか
3. 悪用された場合の影響は何か
4. CVSSなどから深刻度を確認する
5. 修正プログラムや回避策を確認する
6. 業務影響を考えて対応時期を決める

SG試験では、単にCVSSの点数が高いか低いかだけで判断するのではなく、**自組織で使っているか、影響があるか、対応できるか**まで考える視点が重要です。

## よくある誤解・混同
JVN、CVE、CVSSはセットで出てくるため、役割を混同しやすいです。

| 混同しやすい用語 | よくある誤解 | 正しい理解 |
|---|---|---|
| JVN | 脆弱性そのものの番号 | 脆弱性情報を確認するサイト・情報源 |
| CVE | 危険度の点数 | 脆弱性を識別する番号 |
| CVSS | 脆弱性の名前 | 深刻度を評価する指標 |
| パッチ | 脆弱性情報 | 脆弱性を修正するプログラムや更新 |

SG試験では、次のような表現に注意します。

- **「脆弱性を一意に識別する番号」**
  → CVEを疑います。

- **「脆弱性の深刻度を数値化する」**
  → CVSSです。

- **「国内外の脆弱性対策情報を確認する」**
  → JVNやJVN iPediaです。

- **「修正プログラムを適用する」**
  → パッチ管理です。

### 類似略語の切り分け（CWE / CVE / CVSS / CPE / CCE）

SG試験では、`Common` で始まる略語の役割入替がよく出ます。
「何を識別・評価する用語か」を見ると、4択を切りやすくなります。

| 用語 | 何を表すか | 選択肢を切る判断軸 |
|---|---|---|
| CWE | ソフトウェアの脆弱性**タイプ（弱点の種類）** | 「脆弱性の種類の一覧」ならCWE |
| CVE | 個別脆弱性の**識別子（ID）** | 「脆弱性を一意に識別」ならCVE |
| CVSS | 脆弱性の**深刻度評価** | 「基本評価基準・環境評価基準」ならCVSS |
| CPE | 製品・OS・ミドルウェアなどの**製品識別** | 「プラットフォーム名の一覧」ならCPE |
| CCE | セキュリティ設定項目の**設定識別** | 「設定項目を識別」ならCCE |

ひっかけの典型は、次の入れ替えです。

- 「深刻度評価」をCVEやCWEと言い換える（誤り）
- 「製品識別」をCVEやCWEと言い換える（誤り）
- 「設定項目識別」をCVEやCWEと言い換える（誤り）

今回のように「CVEはどれか」と問われたら、
**“個別の脆弱性を共通IDで区別する”という表現がある選択肢を優先**すると正答率が上がります。

「CWEはどれか」と問われた場合は、
**“脆弱性の種類”という表現がある選択肢を優先**します。

よくあるひっかけは、**CVE番号があるから危険度が分かると思うこと**です。

CVEは識別番号なので、それだけでは深刻度は分かりません。

危険度の目安にはCVSSを使います。

ただし、CVSSの点数だけで対応順を決めるのも危険です。

自社でその製品を使っているか、外部公開されているか、代替策があるか、業務停止の影響はどれくらいかも考える必要があります。

## まとめ（試験直前用）
- 脆弱性情報は、**対象製品、影響、対策方法を知らせる情報**です。
- JVNは、**脆弱性対策情報を確認する場所**です。
- CVEは、**既知の個別脆弱性を一意に識別する番号**です。
- CVSSは、**脆弱性の深刻度を評価する指標**です。
- CCEは設定項目、CPEは製品識別、CVEは脆弱性識別と分ける。
- SG試験では、**JVN＝情報源、CVE＝番号、CVSS＝深刻度**で切り分けます。

### 確認問題

JVN、CVE、CVSSの関係として、最も適切なものはどれか。

ア. JVNは脆弱性の深刻度を数値化する指標であり、CVEは修正プログラムそのものである。
イ. CVEは脆弱性を一意に識別する番号であり、CVSSは脆弱性の深刻度を評価する指標である。
ウ. CVSSは脆弱性情報を公表する日本のサイトであり、JVNはソースコードを静的に解析する手法である。
エ. JVN、CVE、CVSSはいずれも端末を社内ネットワークへ接続してよいか判定する仕組みである。

<details>
<summary>回答と解説を表示</summary>

正解は **イ** です。

CVEは、脆弱性を一意に識別するための番号です。

CVSSは、脆弱性の深刻度を評価するための指標です。

JVNは、脆弱性対策情報を確認する情報源として整理します。

アはCVEとCVSSの役割が誤っています。
ウはJVNとCVSSの役割が入れ替わっています。
エは検疫ネットワークに近い説明であり、JVN、CVE、CVSSの説明ではありません。

</details>