CCEとは？設定管理を標準化する識別子の形式・現状とSCAPでの役割

CCE（Common Configuration Enumeration）は、OSやソフトウェアのセキュリティ設定項目一つひとつに、共通の識別番号を割り当てるための標準です。「パスワードの最小文字数を8文字にする」といった個別の設定を CCE-2981-9 のような固定IDで表し、異なるツールやガイドライン間で同じ設定を取り違えずに参照できるようにします。運用体制には押さえておくべき点があります。CCEはもともとMITREが開発しましたが、MITREのCCEサイトは2013年にアーカイブ化され、現在はNISTの国家チェックリストプログラム（NCP）がリストを引き継いで更新しています（最新は2025年12月のリリース）。一方で識別子の仕様はバージョン5で凍結されたままです。この記事では、CCEの識別子の形式、仕様は凍結しつつリストは更新が続くという現状、そしてSCAPやCVE・OVALとの関係を、一次情報にもとづいて整理します。

まとめ：CCEの要点

• CCEの役割：セキュリティ設定項目を一意に識別する共通ID。脆弱性を識別するCVEの「設定版」にあたる。
• 形式：CCE-識別子-チェックディジット。末尾1桁はLuhnアルゴリズムによる誤り検出用の検査数字（例：CCE-2981-9）。旧来よく見る「CCE-XXXX-XXXX」表記は誤り。
• 現状：MITREの公式サイトは2013年3月にアーカイブ化されたが、CCEリスト自体はNIST（国家チェックリストプログラム）が引き継ぎ、現在も更新中（最新リリース 5.20251209＝2025年12月9日）。ただし識別子の仕様はバージョン5で凍結されており、v6のような新仕様は登場していない。
• 関連標準：CCEはSCAPを構成する6標準の一つ。設定はCCE、脆弱性はCVE、プラットフォームはCPE、検査ロジックはOVAL、チェックリストはXCCDFが担う。

以下、それぞれを具体的に見ていきます。

CCEの定義と目的：設定項目を一意に識別する標準

CCEは、システム構成に関するセキュリティ設定を、共通の識別子で表すための仕様です。たとえば「アカウントロックアウトのしきい値」「監査ログの有効化」「SSHのルートログイン禁止」といった設定は、製品やドキュメントごとに呼び方が異なります。同じ設定でも、あるツールでは「パスワード最小長」、別のガイドラインでは「Minimum Password Length」と表記され、突き合わせに手間がかかります。

CCEは、この設定項目に CCE-2981-9 のような固定IDを割り当てます。IDで参照すれば、ベンダーの設定手順書、政府のセキュリティベースライン、監査ツールのレポートが、同じ設定を指していることを機械的に照合できます。脆弱性の世界で番号によって対象を一意に定めるCVEと同じ発想を、「設定」に持ち込んだものと理解するとわかりやすいです。

CCE識別子のフォーマットとチェックディジット

CCE-IDは CCE-識別子-チェックディジット という構造です。中央の識別子は連番として割り当てられ、末尾のハイフンに続く1桁が検査数字（チェックディジット）です。この末尾1桁はLuhn Check Digit Algorithmで生成され、IDの転記ミスを検出する役割を持ちます。クレジットカード番号の末尾検査桁と同じ仕組みです。

たとえば CCE-2981-9 は「最小パスワード長」という設定項目を表し、末尾の 9 がLuhnによる検査数字です。ここで実務上重要なのは、桁数を「CCE-XXXX-XXXX」のように二つの4桁ブロックと誤解しないことです。正しくは「連番＋検査数字1桁」であり、識別子部分の桁数はエントリによって異なります。二つの4桁ブロックだと思い込むと、IDの照合や検索で取りこぼしが生じます。

CCEの現状：仕様は凍結、リストはNISTが更新継続

CCEを扱ううえで押さえておきたいのは、「仕様」と「リスト」で更新状況が異なる点です。この2つを混同すると、CCEが完全に死んだ標準に見えたり、逆に活発に進化中の標準に見えたりと、実態を誤認します。

まず開発の経緯です。CCEはMITREが米国政府の支援のもとで2006年からID付与を開始し、2007年7月のバージョン4.0（914項目）を経て、2007年12月以降のバージョン5系でWindowsやRed Hat Enterprise Linux、Solaris、AIX、HP-UXといった複数プラットフォームへ拡大しました。その後、MITREのCCEサイト cce.mitre.org は「Archive（保管）」ステータスへ移され、最終更新は2013年3月22日で止まっています。2013年2月にはCCE関連資料の著作権がNISTへ譲渡されました。

ここで分けて捉えるべきなのが次の2点です。識別子の仕様（フォーマット）はバージョン5で凍結されており、CVSSのようにv3→v4と刷新される動きはありません。一方でCCEリスト（実際のID群）の整備はNISTの国家チェックリストプログラム（NCP）が引き継ぎ、現在も更新が続いています。最新リリースは2025年12月9日の 5.20251209 で、直前の 5.20250915（2025年9月15日）からの変更点をまとめたChangeLogも公開されています。

実務上の意味はこうです。CCEは「枯れた仕様の上で、対象プラットフォームのIDが今も追補されている」標準です。新しいフォーマットの学習コストは発生しない一方、CISベンチマークや政府系ベースライン（後述のUSGCB等）でCCE-IDを参照する際は、最新のNCPリリースを確認すれば現行のプラットフォームにも対応した項目が見つかります。CCE単独で設定管理を回すというより、SCAP対応コンテンツを横断して同じ設定を突き合わせる「共通番号」として使うのが本来の位置づけです。

SCAPにおけるCCEの位置づけとOVAL・XCCDFとの連携

CCEは単独で使う標準ではなく、SCAP（Security Content Automation Protocol）という自動化フレームワークを構成する要素の一つです。SCAPは複数の標準を束ね、セキュリティ設定の評価を機械可読な形で自動化します。その中でCCEは「何を設定するか（設定項目の識別）」を担当します。

実際のチェックでは役割が分かれます。個々の設定が基準に合致しているかを判定する検査ロジックは OVALとは？脆弱性を標準化して評価するセキュリティ言語の仕組みと現状 で解説するOVALが担い、それらを束ねて「このベンチマークではこの設定をこう確認する」というチェックリストを定義するのが XCCDFとは？SCAP・OVALとの違いとファイル構造・使い方を解説 のXCCDFです。CCE-IDはXCCDFのルールとOVALの判定を、同じ設定項目として結びつける「のり」の役割を果たします。SCAP全体の仕組みは SCAPとは？セキュリティ設定共通化手順とSCAP 1.4の変更点【2026年版】 で整理しています。

CCEとCVE・CWE・CPEの違い

CCEはよくCVEやCWEと混同されますが、識別する対象がそれぞれ異なります。SCAPは「対象を一意に数え上げる（Enumeration）」標準を複数持ち、対象ごとに使い分けます。

関係を一文で言えば、CPEで示した製品において、CCEの設定を適切にしていないと、CWEに分類される弱点が生まれ、それが具体的なCVEの脆弱性として顕在化する、という流れです。CVEとCWEの役割分担は CVEとCWEの違いとは？脆弱性管理の基礎をCVSS・相互関係とあわせて解説 で詳しく扱っています。なお、顕在化した脆弱性の深刻度を点数化するのは CVSSv3とは？スコアの計算方法と3つの評価基準・v3.1との違いを解説 のCVSSであり、CCEとは対象が異なります。

CCEが使われる場面と設定項目の例

CCE-IDに実務で出会うのは、主に政府系のセキュリティベースラインやベンチマークを参照するときです。米国では、政府端末の標準設定を定めたFDCCやその後継のUSGCB（United States Government Configuration Baseline）が、各設定にCCE-IDを付けて公開してきました。CISベンチマークなど、SCAP対応をうたう設定ガイドでも、項目の対応付けにCCE-IDが使われています。

識別対象となる設定は、OS横断で幅広く定義されています。

• Windows：パスワードポリシー、アカウントロックアウトのしきい値、監査ポリシー、ユーザー権限の割り当て
• Linux／Unix系：ファイルパーミッション、SELinuxの有効化、SSHのルートログイン可否
• ネットワーク機器・ミドルウェア：不要ポートの無効化、暗号化プロトコルのバージョン制限

これらの設定を、担当者が独自の呼び名で管理するとツール間で突き合わせできません。CCE-IDを介せば、設定手順書・監査レポート・ベースライン文書が同じ項目を指していることを機械的に確認できます。日本語での概要は、IPA（情報処理推進機構）がCCEの解説ページを公開しており、公的な参照先として使えます。

よくある質問

「CCE」は何の略ですか？

Common Configuration Enumeration（共通設定列挙）の略です。セキュリティ設定項目に共通のIDを割り当てる標準を指します。「CCE」は業界によって別の意味を持つ略語ですが、情報セキュリティやSCAPの文脈では本記事の設定識別子を意味します。

CCEは今も更新されていますか？

リストは更新されています。MITREの公式サイトは2013年3月にアーカイブ化されましたが、CCEリスト自体はNISTの国家チェックリストプログラムが引き継ぎ、最新リリースは2025年12月9日の 5.20251209 です。ただし識別子の仕様はバージョン5で凍結されており、フォーマットの刷新はありません。

CCEとCVEの違いは何ですか？

CVEが「既知の脆弱性」を識別するのに対し、CCEは「セキュリティ設定項目」を識別します。設定がCCE、脆弱性がCVEと役割が分かれ、どちらもSCAPを構成する列挙標準です。

CCE-IDの末尾の数字は何ですか？

末尾のハイフンに続く1桁は、Luhnアルゴリズムで生成されるチェックディジット（検査数字）です。IDの転記ミスを検出する用途で、設定の内容とは関係ありません。

CCEはどこで使われていますか？

主に米国政府のセキュリティベースライン（FDCC／USGCB）やCISベンチマークなど、SCAP対応の設定ガイドで、設定項目の対応付けに使われています。

関連記事

• SCAPとは？セキュリティ設定共通化手順とSCAP 1.4の変更点【2026年版】
• OVALとは？脆弱性を標準化して評価するセキュリティ言語の仕組みと現状
• XCCDFとは？SCAP・OVALとの違いとファイル構造・使い方を解説
• CVEとCWEの違いとは？脆弱性管理の基礎をCVSS・相互関係とあわせて解説
• CVSSv3とは？スコアの計算方法と3つの評価基準・v3.1との違いを解説