脆弱性管理・CVSSとは？

脆弱性管理・CVSSの意味

自組織の資産に存在する脆弱性を継続的に把握し、危険度に応じて修正の優先順位を決める運用。CVSSは脆弱性の深刻度を0.0から10.0の数値で表す共通指標で、攻撃の容易さや影響範囲を要素として算出する。限られた工数の配分根拠として使う。

脆弱性管理・CVSSの具体例

月次でスキャンを実施し、CVSS9.8かつインターネットに公開しているサーバの脆弱性を最優先で3日以内に修正する。同じ深刻度でも社内限定の機器は次回の定期メンテナンスに回す、といった資産の重要度と組み合わせた基準を定める。

脆弱性管理・CVSSは試験でどう引っ掛けられる？

CVSSの基本値は脆弱性そのものの性質を表す汎用値で、自社での実際のリスクではない。公開状況や代替策を加味した環境評価基準まで見なければ優先順位は決まらない。数値が高い順に直せばよいという設問は誤り。

脆弱性管理・CVSSと関連する用語

• ペネトレーションテスト・脆弱性診断
• SBOM・ソフトウェアサプライチェーンセキュリティ

脆弱性管理・CVSSが出た過去問

• 基本評価基準、現状評価基準、環境評価基準の三つの基準で情報システムの脆弱性の深刻度を評価するものはどれか。

  正解：CVSS

  要点：CVSSは基本・現状・環境の3基準で脆弱性を採点する

  CVSS（Common Vulnerability Scoring System）は、脆弱性の深刻度を共通の尺度で数値化する仕組みで、脆弱性そのものの特性を表す基本評価基準、時間経過による状況を表す現状評価基準、利用環境を加味した環境評価基準の3つで構成される。ベンダに依存しない共通指標として広く使われている。

  出典：令和3年度 秋期 応用情報技術者試験 午前 問41（IPA）

• ソフトウェアの既知の脆弱性を一意に識別するために用いる情報はどれか。

  正解：CVE（Common Vulnerabilities and Exposures）

  要点：個別の脆弱性はCVE、深刻度はCVSS、種類はCWE

  CVEは、公表されたソフトウェアの脆弱性一つ一つにCVE-西暦-連番という共通の識別子を付ける仕組みである。ベンダーや製品を問わず同じ脆弱性を同じ番号で参照できるため、情報の突合せや対策状況の管理が容易になる。

  出典：令和5年度 春期 応用情報技術者試験 午前 問40（IPA）

• ソフトウェアの情報セキュリティ対策のうち，SBOM（Software Bill Of Materials）管理ツールを用いることができるものはどれか。

  正解：ソフトウェアについての脆弱性管理

  要点：SBOMは構成部品一覧で、脆弱性の影響範囲を素早く特定する

  SBOMはソフトウェアを構成する部品（ライブラリやコンポーネント）とそのバージョン、依存関係を一覧化したものである。これを管理しておくと、新たな脆弱性が公表されたときに、影響を受ける製品や箇所を素早く特定できる。したがって用途の中心はソフトウェアの脆弱性管理である。

  出典：令和7年度 春期 応用情報技術者試験 午前 問40（IPA）