応用情報技術者 2022年秋期午前2 問40

問題文

JPCERT コーディネーションセンターと IPA とが共同で運営する JVNの目的として最も適切なものはどれか。

選択肢

ア：ソフトウェアに内在する脆弱性を検出し、情報セキュリティ対策に資する。

イ：ソフトウェアの脆弱性関連情報とその対策情報とを提供し、情報セキュリティ対策に資する。（正解）

ウ：ソフトウェアの脆弱性に対する汎用的な評価手法を確立し、情報セキュリティ対策に資する。

エ：ソフトウェアの脆弱性のタイプを識別するための基準を提供し、情報セキュリティ対策に資する。

JVNの目的に関する問題【午前2 解説】

要点まとめ

結論：JVNは脆弱性情報と対策情報を提供し、情報セキュリティ対策に役立てることが目的です。
根拠：JVNはJPCERTとIPAが共同運営し、脆弱性情報の収集・公開を通じて利用者の安全確保を支援しています。
差がつくポイント：単に脆弱性を検出するだけでなく、具体的な対策情報を提供している点を理解することが重要です。

正解の理由

イは「ソフトウェアの脆弱性関連情報とその対策情報とを提供し、情報セキュリティ対策に資する」とあり、JVNの基本的な役割を正確に表しています。JVNは脆弱性情報の収集・公開だけでなく、対策情報も提供し、利用者が適切に対応できるよう支援しています。

よくある誤解

JVNは脆弱性の検出や評価手法の確立を行う機関ではなく、情報の提供と共有を主な目的としています。単なる検出や基準提供と混同しやすい点に注意が必要です。

解法ステップ

JVNの運営主体を確認（JPCERTとIPAの共同運営）。
JVNの公式目的を理解する（脆弱性情報と対策情報の提供）。
選択肢の内容を「情報提供」か「検出・評価・基準作成」かで分類。
JVNの役割に合致する選択肢を選ぶ。
対策情報の提供が含まれているかを最終確認。

選択肢別の誤答解説

ア：脆弱性の検出はJVNの役割ではなく、情報提供が主目的です。
イ：正解。脆弱性情報と対策情報の提供がJVNの本質です。
ウ：評価手法の確立は別の専門機関の役割であり、JVNの目的ではありません。
エ：脆弱性タイプの基準提供もJVNの直接的な目的ではありません。

補足コラム

JVN（Japan Vulnerability Notes）は日本国内の脆弱性情報を集約し、迅速に公開することで、企業や個人が適切なセキュリティ対策を講じられるよう支援しています。海外のNVD（National Vulnerability Database）と連携し、国際的な情報共有も行っています。