CWE（Common Weakness Enumeration）は、ソフトウェアやハードウェアのセキュリティ上の弱点（脆弱性）を識別するための共通の基準を提供するリストです。以下にCWEの詳細を説明します。
CWEの概要
CWEは、米国の非営利団体MITREが中心となって開発されたもので、セキュリティに影響を及ぼす可能性のある一般的な弱点を一覧にしたものです。CWEは、ソフトウェア開発者やセキュリティ専門家が共通の言葉で脆弱性について議論し、対策を講じるための基準として利用されます。
CWEの構成要素
CWEは、以下のような構成要素から成り立っています：
- ビュー（View）: ある観点からいくつかの脆弱性タイプを選択して集めたものです。例えば、NISTでは、実際に公表されている脆弱性を考慮し、CWEの中から19個の脆弱性タイプを選択してNVDに掲載しています。
- カテゴリー（Category）: 共通の特性を持つ脆弱性タイプをグループ化したものです。例えば、暗号の問題に関連する脆弱性やユーザインターフェースに関連する脆弱性が該当します。
- 脆弱性（Weakness）: 個々の脆弱性を表したもので、クラス（Class）、ベース（Base）、バリアント（Variant）の属性が付与されています。
- 複合要因（Compound Element）: 複数の要因が複合した脆弱性を表したもので、コンポジット（Composite）とチェイン（Chain）の属性が付与されています。
CWEの利用例
CWEは、以下のような場面で利用されます：
- ソフトウェア開発: 開発者が脆弱性を識別し、対策を講じるための基準として利用します。
- セキュリティ評価: セキュリティ専門家が脆弱性を評価し、リスクを低減するためのツールとして利用します。
- コンプライアンス: 法規制やガイドラインに基づいたセキュリティ対策を実施し、コンプライアンスを強化します。
CWEは、セキュリティ対策の標準化と効率化を実現するための重要なリソースです。
