情報セキュリティマネジメント 2017年 春期 午前（科目A） 問12
問題文
情報セキュリティ管理を行う上での情報の収集源の一つとしてJVNが挙げられる。JVNが主として提供する情報はどれか。
選択肢
ア：工業製品などに関する技術上の評価や製品事故に関する事故情報及び品質情報
イ：国家や重要インフラに影響を及ぼすような情報セキュリティ事件・事故とその対応情報
ウ：ソフトウェアなどの脆弱性関連情報や対策情報（正解）
エ：日本国内で発生した情報セキュリティインシデントの相談窓口に関する情報
🔒 解説は解答すると表示されます
ソフトウェア脆弱性情報【情報セキュリティマネジメント解説】
正解の理由
JVN（Japan Vulnerability Notes：ソフトウェア脆弱性情報の公開サービス）は、ソフトウェアや製品の脆弱性（プログラムの欠陥で不正利用される問題）の情報と、その対策（修正プログラムや回避策）を収集・公開するためのデータベースです。したがって、選択肢のうち ウ「ソフトウェアなどの脆弱性関連情報や対策情報」が該当します。JVNは脆弱性の識別子（CVE：Common Vulnerabilities and Exposures）や深刻度（CVSS：Common Vulnerability Scoring System）なども扱い、対策の目安を示します。
（補足：JVNはIPA（Information-technology Promotion Agency：独立行政法人情報処理推進機構）とJPCERT/CC（Japan Computer Emergency Response Team Coordination Center：日本のコンピュータ緊急対応組織）が共同で運営しています。）
解法ステップ
- JVNという語を見て、正式名や目的を思い出す（JVN＝Japan Vulnerability Notes：脆弱性情報の公開）。
- 各選択肢の内容を「脆弱性情報」「事故」「相談窓口」「製品事故」などに分類する。
- JVNの目的と合致する選択肢を選ぶ（脆弱性情報の提供が主目的なので ウ を選ぶ）。
短く言えば「JVN＝脆弱性情報のデータベース」をキーに判断します。
選択肢別の誤答解説
-
ア: 工業製品の事故情報や品質情報
誤りです。製品事故や品質問題は消費者庁やNITE（製品評価技術基盤機構）などが対象であり、JVNは主にソフトウェア脆弱性を扱います。 -
イ: 国家や重要インフラに影響を及ぼすような情報セキュリティ事件・事故とその対応情報
誤りです。国家レベルや重要インフラのインシデント対応は、JPCERT/CC（Japan Computer Emergency Response Team Coordination Center：日本のCERT）や政府機関が主に発信します。JVNは事件の全体報告というより「脆弱性の公表と対策」に特化しています。 -
ウ: ソフトウェアなどの脆弱性関連情報や対策情報
正解です。JVNは脆弱性情報の公開、CVEとの紐付け、対策情報の集約を行っています。 -
エ: 国内で発生した情報セキュリティインシデントの相談窓口に関する情報
誤りです。相談窓口や通報先の案内は各地方や業界団体、JPCERT/CCなどが提供します。JVNは窓口案内を主目的とはしていません。
よくある誤解
-
「JVNはインシデントの一次受付（相談窓口）だ」
→ 実際は脆弱性情報の公開が主で、インシデントの相談や初動対応はJPCERT/CC等のCSIRTが担当することが多いです。 -
「JVNは脆弱性の対処パッチそのものを作る」
→ JVNはベンダー公表情報や対策案を集約・公開しますが、実際の修正パッチは各ベンダーが作成・配布します。
補足コラム
・JVNの利用イメージ（職場での使い方）
- 資産一覧（社内で使っているソフトやバージョン）を作る。
- JVNのRSSやメール配信を購読して、関連するCVEが出たら自動で通知を受け取る。
- 該当する脆弱性が見つかったら、影響範囲を評価して優先順位を付け、パッチ適用や設定変更を実施する。
- 対策後は適用記録やテスト結果を残して監査や報告に備える。
・用語メモ
- CVE（Common Vulnerabilities and Exposures：共通脆弱性識別子）＝脆弱性の一意な番号。
- CVSS（Common Vulnerability Scoring System：脆弱性の深刻度を数値化する仕組み）＝優先度付けに使う指標。
FAQ
Q1: JVNとJPCERT/CCは同じですか？
A1: 異なります。JVNは脆弱性情報の公開サービスで、運営にはIPAとJPCERT/CCが関わっています。JPCERT/CCはインシデント対応や調整を行う組織です。
A1: 異なります。JVNは脆弱性情報の公開サービスで、運営にはIPAとJPCERT/CCが関わっています。JPCERT/CCはインシデント対応や調整を行う組織です。
Q2: JVNだけで脆弱性管理は完結しますか？
A2: いいえ。JVNは情報源の一つです。ベンダーの公式情報、セキュリティベンダーのアラート、自社資産管理と組み合わせて運用する必要があります。
A2: いいえ。JVNは情報源の一つです。ベンダーの公式情報、セキュリティベンダーのアラート、自社資産管理と組み合わせて運用する必要があります。
Q3: 優先的に対応する基準は？
A3: CVSSのスコアと、自社でそのソフトを業務でどれだけ重要に使っているか（機密性・可用性への影響）を掛け合わせて判断します。
A3: CVSSのスコアと、自社でそのソフトを業務でどれだけ重要に使っているか（機密性・可用性への影響）を掛け合わせて判断します。
関連キーワード: JVN、脆弱性、CVE、CVSS、JPCERT/CC、IPA、脆弱性管理、パッチ管理、セキュリティアラート
\ せっかくなら /
情報セキュリティマネジメントを
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！