社内で使っている業務ソフトウェアについて、ベンダーからCVE番号付きの 脆弱性情報が届いた。情報セキュリティ担当者が、自社での対応の優先度を 判断するときの考え方として、最も適切なものはどれか。

正解：エ

各選択肢の解説

1. アCVE番号は脆弱性の深刻度を表すので、番号の大きいものから優先して対応する。

   誤り。CVEは個々の脆弱性を特定するための識別番号で、年と連番からなります。 番号の大小は深刻度と関係がありません。深刻度を表すのはCVSSで、 「どの脆弱性か」を指す番号と「どれだけ深刻か」を表す値を分けて考えます。

2. イCWEの番号は脆弱性ごとの識別番号なので、CWEが同じ通知は同じ脆弱性とみなす。

   誤り。CWEは脆弱性の原因となる弱点の「種類」の一覧です。例えば同じ クロスサイト・スクリプティングの型でも、製品が違えば別の脆弱性です。 個別の事案を指すのはCVE、型を指すのがCWEと区別します。

3. ウJVNに掲載された脆弱性は修正済みのものなので、自社での対応は不要と判断する。

   誤り。JVNは、JPCERT/CCとIPAが共同で運営し、脆弱性情報とその対策情報を 公表するポータルです。公表されたことは、自社の環境で修正が適用された ことを意味しません。掲載された対策を自社で実施するかを判断します。

4. エCVSSの基本評価の値をもとに、自社の利用環境での条件を加味して評価し直す。

   正解。CVSSは脆弱性の深刻度を数値で表す評価の仕組みで、基本評価に、 利用環境ごとの条件を反映させた評価を加えられます。同じ脆弱性でも、 自社での使い方によって対応の優先度は変わります。

理解を深めるために