SCAPと脆弱性管理の標準
更新日:
用語解説
SCAPを構成する主要な標準を、製品の識別、個別脆弱性の識別、深刻度評価、弱点分類という役割から整理します。
■ 試験で押さえるポイント
SCAP（Security Content Automation Protocol：セキュリティ設定共通化手順） 情報セキュリティ対策（脆弱性チェックや設定確認など）を、手動ではなく 「ツールを用いて自動化」するための技術仕様（プロトコル群） です。
CVE（脆弱性の命名）、CVSS（評価）、CPE（プラットフォームの命名）などの各種標準を組み合わせて構成されており、アメリカのNISTが推進しています。
CPE（Common Platform Enumeration） ハードウェアやOS、アプリケーションソフトウェアを識別するための 共通の命名規則（共通プラットフォーム一覧） です。
「Windows 10」と「Win10」のような表記揺れを防ぎ、脆弱性スキャナなどのツールが「どの製品のどのバージョンに該当するか」を機械的に正確に判別するために用いられます。
CVE（Common Vulnerabilities and Exposures：共通脆弱性識別子） 世界中で日々発見される個々の脆弱性に対して、 「CVE-西暦-連番（例：CVE-2023-12345）」という一意の共通ID（識別番号）を割り当てる仕組み です。
セキュリティベンダーごとにバラバラの名前で呼ぶことによる混乱を防ぎ、「あの脆弱性のことね」と世界共通で特定できるようにするカタログのような役割を果たします。
CVSS（Common Vulnerability Scoring System：共通脆弱性評価システム） 発見された脆弱性が「どれくらい危険か」を、 ベンダーに依存しない共通の基準で評価し、0.0〜10.0のスコア（数値）で表す仕組み です。
「基本評価基準（脆弱性そのものの深刻度）」「現状評価基準（攻撃コードの有無など今の状況）」「環境評価基準（自社システムにとっての重要度）」の3つの基準を用いて、対策の優先度を定量的に判断するのに役立ちます。
■ 過去問での着眼点
例: 「SQLインジェクション」「バッファオーバーフロー」「クロスサイトスクリプティング」といった弱点の種類そのものにCWE番号が振られており、開発者がセキュアコーディングを学ぶ際の辞書として機能します。