CCE（Common Configuration Enumeration）バージョン 5 は、SCAP アプリケーション内で、設定上の既知の問題に識別子と説明を割り当てるために使用されます。CCE バージョン 5 の情報は、スキャン用の入力として選択した SCAP ポリシーで XCCDF SCAP 1.0 定義 XML ファイル（OVAL 5.3 スキーマ）から抽出されます。
スキャンが完了すると、SCAP コンプライアンスレポートで CCE 情報を参照できます。個別ホストレポート（対話形式レポート）または SCAP スコアカードレポートを実行すると、結果に CCE ID が表示されます。そこで、CCE ID をクリックすると、NIST SP 800-53 コントロール識別子へのマッピングなどの情報が取得できます。CCE ID は、SCAP データストリームに指定されている場合にのみ表示されます。
レポートを実行するには、「PC」->「Reports」を選択し、「New」->「SCAP Report」->「Interactive」または「New」->「SCAP Report」->「Scorecard Report」を選択します。
SCAP ポリシー XML レポートは、XCCDF 仕様に準拠する XCCDF 結果ドキュメントです。SCAP ポリシー XML レポートには、XCCDF テスト結果を扱う XCCDF 1.1.4 仕様の一部が含まれます。<Rule> 要素の子である <impact-metric> 要素は、ルールを CCE 識別子と CVSS 情報に関連付けます。
証拠がレポート設定で要求されると、SCAP スキャン用の特殊なパッチが SCAP 個別ホストレポートでレポートされます。「Security Patches Up-To-Date」という特殊なルールは、SCAP ポリシーの「パッチ」ファイルで定義されたすべてのパッチをリストします。テスト対象の CVE ごとに、CVSS 基本値と攻撃ベクトルが表示されます。