CVSS（共通脆弱性評価システム）とは？

CVSS（共通脆弱性評価システム）の意味

脆弱性の深刻度を製品や組織に依存しない共通の尺度で数値化する仕組み。攻撃の難易度や影響の大きさから0.0〜10.0のスコアを算出する。基本評価基準・現状評価基準・環境評価基準の3種類があり、目的に応じて使い分ける。

CVSS（共通脆弱性評価システム）の具体例

基本評価基準が9.8の脆弱性でも、その機器が外部から到達できずインターネットに接する経路が無ければ、環境評価基準を加味したスコアは下がる。この差を根拠に、社内規程で定めた適用期限を延ばす判断とその理由を記録する。

CVSS（共通脆弱性評価システム）は試験でどう引っ掛けられる？

3つの基準の役割を混同しやすい。基本評価基準は時間や環境で変わらない固有の値、現状評価基準は攻撃コードの有無など時間で変わる値、環境評価基準は利用者側の構成を反映した値である。スコアは「発生確率」ではない。

CVSS（共通脆弱性評価システム）と関連する用語

• 脆弱性管理とパッチマネジメント（CVE・JVN）
• ペネトレーションテストと脆弱性診断
• 年間予想損失額（ALE）による費用対効果の判断

CVSS（共通脆弱性評価システム）が出た過去問

• 基本評価基準、現状評価基準、環境評価基準の三つの基準で情報システムの脆弱性の深刻度を評価するものはどれか。

  正解：CVSS

  要点：CVSSは基本・現状・環境の3基準で脆弱性を採点する

  CVSS（Common Vulnerability Scoring System）は、脆弱性の深刻度を共通の尺度で数値化する仕組みで、脆弱性そのものの特性を表す基本評価基準、時間経過による状況を表す現状評価基準、利用環境を加味した環境評価基準の3つで構成される。ベンダに依存しない共通指標として広く使われている。

  出典：令和3年度 秋期 応用情報技術者試験 午前 問41（IPA）

• ソフトウェアの既知の脆弱性を一意に識別するために用いる情報はどれか。

  正解：CVE（Common Vulnerabilities and Exposures）

  要点：個別の脆弱性はCVE、深刻度はCVSS、種類はCWE

  CVEは、公表されたソフトウェアの脆弱性一つ一つにCVE-西暦-連番という共通の識別子を付ける仕組みである。ベンダーや製品を問わず同じ脆弱性を同じ番号で参照できるため、情報の突合せや対策状況の管理が容易になる。

  出典：令和5年度 春期 応用情報技術者試験 午前 問40（IPA）