CVSS・CVE・CWEとは？しーぶいえすえすしーぶいいーしーだぶりゅいー
CVSS・CVE・CWEとは、脆弱性を組織や製品をまたいで同じ言葉で扱うための三点セットで、番号・分類・点数と役割が重ならない。個々の脆弱性へ一意の番号を振るのがCVE、弱点を種類ごとに整理した体系がCWE、深刻度を0.0〜10.0の点数で表す評価基準がCVSSであり、対応の優先順位はこれらを組み合わせて決める。
最終更新：2026-10-06
応用情報を最短で暗記・合格する →背景
かつては同じ欠陥をベンダごとに別の名前と独自の重大度で公表しており、利用者は自社の製品に該当するのかどうかを突き合わせるだけで手一杯だった。番号を共通化し、種類の呼び方をそろえ、深刻度を同じ物差しで点数化することで初めて、複数ベンダの情報を並べて「どれから直すか」を議論できるようになる。管理の対象が増え続けるほど、共通の識別子が効いてくる。
具体例
CVEとCWEはMITREが、CVSSはFIRSTが仕様を管理しており、日本ではJPCERT/CCとIPAが運営するJVNが日本語で情報を公開している。CVSSには攻撃元区分などから求める基本評価基準に加え、攻撃コードの有無を反映する現状評価基準、自組織の資産価値を反映する環境評価基準がある。
試験での引っ掛け
CVSSの基本値だけで対応順を決めるのは誤り。基本値は脆弱性そのものの性質を表すだけで、外部公開サーバか閉域内かといった自組織での影響や、悪用の現実性は現状評価・環境評価で補う必要がある。三つの役割も入れ替えて問われ、CVEは分類ではなく個別の採番、CWEは個別の事象ではなく種別の分類である。
関連用語
出典・参考
公式シラバスの3 技術要素 ＞ 3. セキュリティ技術評価 ＞ (1) セキュリティ評価基準に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。