情報処理安全確保支援士 2014年 春期 午前2 問14

JVNなどで採用されているCWE（Common Weakness Enumeration）はどれか【午前2 解説】

正解の理由

解法ステップ

1. 問題文の「CWEが採用されている」と「脆弱性対策ポータル（JVN）」の関係を把握する。
2. 各選択肢が示す内容を簡潔に分類する（基準・プラットフォーム名・設定項目・脆弱性の種類）。
3. CWEの定義を思い出す：Common Weakness Enumeration＝弱点（weakness）の列挙→脆弱性の種類。
4. 定義と選択肢を照合して最も一致するもの（エ）を選ぶ。

選択肢別の誤答解説

• ア: 「基本評価基準、現状評価基準、環境評価基準…」は評価手法や基準の記述であり、CWEの定義とは異なります。CWEは評価手法ではなく「弱点の分類」です。
• イ: 「製品を識別するためのプラットフォーム名の一覧」は誤り。製品やプラットフォームを識別するのは別のカタログや資産管理の領域です。
• ウ: 「セキュリティに関連する設定項目を識別するための識別子」は、セキュリティ設定のチェックリスト（例：ベンチマーク）に近い記述であり、CWEが対象とする「コードや設計の弱点」とは異なります。
• エ: ソフトウェアの脆弱性の種類の一覧 はCWEの定義に一致するため正解です。

よくある誤解

1. CWEをCVEと混同する：CVEは「個別の脆弱性事例」を識別するIDで、CWEはその脆弱性の「型（分類）」です。用途が異なります。
2. CWEを設定項目の一覧と誤認：セキュリティ設定のチェックリスト（例えばベンチマークやハードニングガイド）とは別物であり、CWEはコードや設計上の弱点を示します。
3. プラットフォーム名の一覧と思う：CWEは「脆弱性の種類」なのでプラットフォームや製品名の列挙ではありません。

補足コラム

• CWEはMITREが管理し、番号（例：CWE-79 はクロスサイトスクリプティング）で弱点を参照します。JVNなどはCVE（個別脆弱性）にCWEを紐づけることで、同種の弱点を横断的に把握・対策できます。
• 実務ではPRA（脅威モデリング）や静的解析ツール、セキュリティテスト結果にCWE識別子を付与して、優先度付けや対策の再利用性を高めます。

FAQ