ITパスポート 2018年 春期 問82

JVN（識別子「JVN#12345678」など）で管理する情報はどれか【ITパスポート 解説】

正解の理由

解法ステップ

1. 問題文のキーワードに注目する：「JVN」「識別子」「JVN#…」という表記から、何を管理する仕組みかを考える。
2. JVNの用語イメージを思い出す：JVNは「脆弱性（ソフトウェアの欠陥で攻撃されやすくなる問題）」を扱うサイトであることを確認する。
3. 選択肢を照らし合わせる：脆弱性情報と対策を扱うのは選択肢エのみ。
4. 他の選択肢は用途が異なることを確かめて除外する（例：ライセンス情報、ウイルス定義、規格はそれぞれ別の管理先がある）。

選択肢別の誤答解説

• ア: OSSのライセンスに関する情報
  OSS（Open Source Software：オープンソースソフトウェア、誰でも閲覧・改変できるソースコードの形態）のライセンス情報は、プロジェクトの公式サイトやライセンスデータベース（例：SPDXなど）で管理されます。JVNはライセンスではなく脆弱性が対象です。
• イ: ウイルス対策ソフトの定義ファイルの最新バージョン情報
  ウイルス対策ソフトの定義ファイル（ウイルスパターン）は各セキュリティベンダーが配布・管理します。JVNは脆弱性情報の公開・通知を行う場であり、定義ファイルのバージョン管理が主目的ではありません。
• ウ: 工業製品や測定方法などの規格
  規格（JISやISOなど）は規格制定団体や標準化機関で管理されます。JVNはセキュリティ脆弱性の情報公開が目的なので、規格とは別領域です。
• エ: ソフトウェアなどの脆弱性関連情報とその対策
  JVNはここに該当します。脆弱性の説明、影響を受けるバージョン、評価（重大度）、対策（修正プログラムや回避策）をまとめて公開します。

よくある誤解

1. JVNは「ウイルス情報」を公開するサイトだと思う
   誤解です。ウイルス（マルウェア）自体の情報や感染ファイルの定義はセキュリティベンダーが扱います。JVNはソフトウェアの脆弱性（悪用される可能性のある欠陥）に関する情報です。
2. JVNとCVEは同じものだと思う
   混同しやすい点です。CVE（Common Vulnerabilities and Exposures：共通脆弱性識別子）は国際的な識別子体系で、JVNは日本での脆弱性情報公開の窓口です。多くの場合、JVNの告知にCVE番号も記載され、両者は連携して使われますが、組織と役割は別です。
3. 脆弱性情報＝すぐに利用者が取るべき対策が用意されていると思う
   一部に対策（パッチ）が示されることが多いですが、すぐに完全な修正がない場合もあります。影響範囲や回避策とあわせて内容を確認する必要があります。

補足コラム

• JVNの見方（実用ポイント）
  1. 製品名やバージョンを確認する：自分が使っているソフトのバージョンが影響を受けるかが最重要。
  2. CVSS（Common Vulnerability Scoring System：脆弱性の深刻度を数値化する仕組み）のスコアを確認する：高いほど深刻です。
  3. 対策があるか（パッチやアップデート）、回避策、ベンダーの作業予定をチェックする。
  4. すぐに適用できる更新がある場合は、業務影響を考えて早めに対応を検討します。
• もし自分の使うソフトがJVNで報告されていたら
  まずはベンダーの公式アナウンスを確認し、提供されているパッチやアップデートを適用します。適用が難しい場合は、アクセス制限や対象機能の停止などの緩和策を検討します。

FAQ