情報セキュリティマネジメント 2016年 秋期 午前（科目A） 問04

脆弱性情報ポータル【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題文のキーワード「JVN」を見つける。
2. JVN の意味を想起する：Japan Vulnerability Notes（脆弱性情報の通知・公開）であることを確認する。
3. 選択肢と照合する：情報提供をする「ポータル」に一致する選択肢を選ぶ。
4. 他の選択肢が別の用語を指すことを確認して除外する（例：識別子や評価手法、インシデント対応チームは別物）。

選択肢別の誤答解説

• ア: 情報システムに存在する脆弱性の深刻度を評価する手法。
  • これは CVSS（Common Vulnerability Scoring System：脆弱性の深刻度を数値化する基準）など評価手法に該当します。JVN自体は評価手法ではありません。
• イ: 製品に存在する脆弱性に対して採番された識別子。
  • これは CVE（Common Vulnerabilities and Exposures：脆弱性の一意識別子）の説明です。JVN は識別子を扱うこともありますが、サイトそのものは識別子ではありません。
• ウ: 脆弱性対策情報などを提供するポータルサイト。
  • JVN の役割そのものです。脆弱性の公表、技術的説明、対策情報へのリンクなどを提供します。
• エ: 組織内の情報セキュリティ問題を専門に扱うインシデント対応チーム。
  • これは CSIRT（Computer Security Incident Response Team：組織のインシデント対応チーム）の説明です。JVN はチームではなく情報発信サイトです。

よくある誤解

• 「JVNは識別子（CVE）そのものだ」と混同する。
  • 実際は JVN は情報をまとめるサイトで、CVE ID を紹介することはあっても、CVE 自体は別の仕組みです。
• 「JVNが出す情報は技術者向けだけ」と思う。
  • 技術的な説明もありますが、影響範囲や対処方法の要点を示すため、非技術部門でもパッチ適用やベンダー対応の判断に使えます。

補足コラム

• 社内の資産台帳（どのソフトがどのPCに入っているか）を用意しておくと、JVN の新着情報を見て「自社に影響があるか」を速やかに判断できます。
• JVN の RSS やメール配信を購読し、該当するソフトが見つかったら優先度を決めてパッチ適用やベンダー対策を実施します。
• JVN に掲載される情報は、しばしば CVE ID や CVSS スコア（脆弱性の深刻度指標）を含みます。これらを手掛かりにリスクの優先順位付けができます。

• JPCERT/CC（日本のCERT）や IPA（情報処理推進機構）が中心となって運営しており、日本語の情報を充実させています。海外の脆弱性情報（CVEDB など）とも連携しています。

FAQ