令和6年度 春期 情報処理安全確保支援士 午前II 問9

各選択肢の解説

ア

IT製品の脆弱性を評価する手法

誤りです。IT製品の脆弱性の深刻度を、攻撃元区分や影響度などの基準で数値化して評価する手法はCVSS（Common Vulnerability Scoring System）です。CWEは深刻度を評価する手法ではなく、脆弱性の種類を分類した一覧です。

イ

製品を識別するためのプラットフォーム名の一覧

誤りです。製品を識別するための、ベンダ名・製品名・バージョンなどを構造化したプラットフォーム名の一覧はCPE（Common Platform Enumeration）です。CWEは製品ではなく、弱点の種類を識別します。

ウ

セキュリティに関連する設定項目を識別するための識別子

誤りです。OSやアプリケーションのセキュリティに関連する設定項目に一意の識別子を付けたものはCCE（Common Configuration Enumeration）です。CWEは設定項目ではなく、脆弱性の種類を扱います。

エ

ソフトウェア及びハードウェアの脆弱性の種類の一覧

正しいです。CWE（Common Weakness Enumeration）は、SQLインジェクション（CWE-89）やクロスサイトスクリプティング（CWE-79）のように、ソフトウェアとハードウェアの脆弱性の種類に識別子を付けて体系化した一覧です。JVNでは、個々の脆弱性がどの種類に当たるかを示すのに使われています。