JVN（Japan Vulnerability Notes）とは？脆弱性情報の見方をわかりやすく解説【IPA試験対策】

対象試験と出題頻度

JVN（Japan Vulnerability Notes）は、ITパスポート・情報セキュリティマネジメント・基本情報技術者・応用情報技術者で出題されるテーマです。

脆弱性情報に関する問題で登場することがあるので、「何を提供するサイトか」を押さえておきましょう。

詳細をクリックして確認

対象試験：
ITパスポート
情報セキュリティマネジメント
基本情報技術者
応用情報技術者

出題頻度：
★★★☆☆
ランクB（標準）覚えておくと有利

用語の定義

JVN（Japan Vulnerability Notes）とは、一言で言うと「日本国内で使用されるソフトウェアの脆弱性情報を収集・公開するポータルサイト」のことです。

イメージとしては、「ソフトウェアの欠陥情報を集めた公式掲示板」のようなものです。
自動車のリコール情報が国土交通省のサイトで公開されるように、ソフトウェアの脆弱性（セキュリティ上の欠陥）情報がJVNで公開されています。「このソフトにこんな危険な穴が見つかりました」という情報を、誰でも確認できるようにしているわけです。

情報処理試験を勉強していると、「JVNって誰が運営しているの？」「CVEとは何が違うの？」という疑問が浮かびがちです。JVNはJPCERT/CCとIPAが共同で運営しており、日本向けの脆弱性情報を提供しています。CVEは世界共通の脆弱性識別番号で、JVNでもCVE番号を参照できます。

解説

JVNは、日本におけるソフトウェア脆弱性情報の公式ポータルサイトです。ソフトウェア製品に発見された脆弱性（セキュリティホール）の情報を収集し、対策情報とともに公開しています。システム管理者やセキュリティ担当者が、自社で使用しているソフトウェアに脆弱性がないかを確認するために活用されています。

脆弱性とは

そもそも「脆弱性」とは何でしょうか。脆弱性（Vulnerability）とは、ソフトウェアやシステムに存在するセキュリティ上の欠陥のことです。この欠陥を攻撃者に悪用されると、不正アクセスや情報漏えいなどの被害が発生する可能性があります。

脆弱性は、プログラムのバグ（不具合）や設計上の問題によって生じます。開発者が意図しない形でシステムが動作してしまう「穴」のようなものだと考えてください。

JVNが提供する情報

JVNでは、脆弱性に関する以下のような情報が公開されています。

JVNの識別番号

JVNで公開される脆弱性情報には、一意の識別番号が付与されます。形式は「JVN#12345678」や「JVNVU#12345678」のようになっています。

CVSSとの関係

JVNでは、脆弱性の深刻度を表すためにCVSS（Common Vulnerability Scoring System：共通脆弱性評価システム）を使用しています。CVSSは、脆弱性の深刻さを0.0〜10.0のスコアで表す国際的な評価基準です。

スコアが高いほど深刻な脆弱性であり、早急な対応が必要とされます。

CVEとの違い

試験では、JVNとCVEの違いを問われることがあります。

CVE（Common Vulnerabilities and Exposures）は、米国のMITRE社が管理する脆弱性の識別番号体系です。世界中の脆弱性に一意の番号（CVE-2024-XXXXのような形式）を割り当て、国際的に共通の識別子として使用されています。

JVNは日本向けの脆弱性情報ポータルであり、CVE番号が付与された脆弱性についてはJVNでもCVE番号を参照できます。両者は対立するものではなく、補完関係にあると考えてください。

---

試験ではこう出る！

JVNは、脆弱性情報に関する問題で登場することがあります。以下のポイントを押さえておきましょう。

---

【確認テスト】理解度チェック

ここまでの内容を理解できたか、簡単なクイズで確認してみましょう。