正解：イ
各選択肢の解説
アCVE
誤り。CVEは、個々の脆弱性を特定するために付ける識別番号の仕組みです。 公表される情報にCVE番号が添えられることはありますが、番号は「どの脆弱性か」を 指すもので、開発者の対応状況を日本語で伝える公表の場ではありません。
イJVN
正解。JVNはJPCERT/CCとIPAが共同で運営する脆弱性情報のポータルです。 届出を受けて調整された脆弱性は、内容や対策とともに、開発者の対応状況も あわせて公表されます。
ウCWE
誤り。CWEは、脆弱性の原因となる弱点の種類を整理した一覧です。今回の脆弱性が どの型にあたるかを示すのには使えますが、個々の製品の脆弱性や開発者の 対応状況を公表する場ではありません。
エNVD
誤り。NVDは米国のNISTが運営する脆弱性データベースで、CVE番号の付いた 脆弱性に評価などの情報を加えて提供します。国内の届出と調整を経た情報を、 開発者の対応状況とともに日本語で公表する場ではありません。
理解を深めるために
届出から公表までをつなぐ国内の窓口
ソフトウェア製品の脆弱性は、見つけた人がいきなり世間に公表すると、修正版が 出る前に攻撃に使われてしまいます。そこで国内では、届出を受け付けて開発者と 調整し、修正の準備ができてから公表する流れが用意されています。その公表先が JVNです。
流れと各機関の役割
- IPA: ソフトウェア製品の脆弱性の届出を受け付ける
- JPCERT/CC: 開発者と連絡を取り、公表の時期などを調整する
- 開発者: 修正版や回避策を用意し、対応状況を提供する
- JVN: JPCERT/CCとIPAが共同で運営し、脆弱性と対策、開発者の対応状況を公表する
この仕組みは「情報セキュリティ早期警戒パートナーシップ」と呼ばれます。 製品を使う側にとっては、JVNを見れば国内で調整された脆弱性の対策情報を、 開発者の対応状況とあわせて確認できます。
混同しやすいものとの違い
| 名称 | 役割 |
|---|---|
| JVN | 国内で調整された脆弱性情報を対策・対応状況とともに公表する |
| CVE | 個々の脆弱性に付ける識別番号 |
| CWE | 脆弱性の原因となる弱点の種類の一覧 |
| NVD | 米国NISTが運営する脆弱性データベース |
試験では、「公表の場」を問われたらJVN、「番号」ならCVE、「種類」ならCWEと、 問われている役割で見分けます。