CVSS（共通脆弱性評価システム）とは？きょうつうぜいじゃくせいひょうかしすてむ
CVSS（共通脆弱性評価システム）とは、脆弱性の深刻度を、製品や組織に依存しない共通の尺度で0.0〜10.0に数値化する仕組み。時間や環境で変わらない基本評価基準、攻撃コードの有無など時点で変わる現状評価基準、自組織の構成を反映した環境評価基準の3層からなり、対処の優先順位を説明する根拠に使う。
最終更新：2026-10-06
この語が出る過去問を解く →背景
脆弱性の重大さが発見者やベンダの言葉で「重要」「緊急」と表現されるだけでは、複数ベンダの情報が混ざった時点で比較ができない。対処の順番を決める側は、どれから手を付けるかを他人に説明できる共通の物差しを必要としていた。CVSSは評価の観点を項目へ分解し算出式を公開することで、この比較可能性と説明可能性を確保している。
具体例
基本評価基準が9.8の脆弱性でも、その機器が外部から到達できない閉じた区画にあるなら、環境評価基準まで加味したスコアは下がる。この差を根拠に、社内規程で定めた適用期限を延ばす判断と、その理由を記録に残す。
試験での引っ掛け
3つの基準の役割の取り違えが定番で、基本は固有の値、現状は時点で変わる値、環境は利用者側の構成を反映した値である。スコアは深刻度であって発生確率ではない。CVSSは深刻度の尺度、CVEは脆弱性の識別子、CWEは脆弱性の種類の分類で、それぞれ別の体系である。
関連用語
出た過去問
出典：令和3年度 秋期 応用情報技術者試験 午前 問41（IPA）
基本評価基準、現状評価基準、環境評価基準の三つの基準で情報システムの脆弱性の深刻度を評価するものはどれか。
正解：CVSS
要点：CVSSは基本・現状・環境の3基準で脆弱性を採点する
CVSS（Common Vulnerability Scoring System）は、脆弱性の深刻度を共通の尺度で数値化する仕組みで、脆弱性そのものの特性を表す基本評価基準、時間経過による状況を表す現状評価基準、利用環境を加味した環境評価基準の3つで構成される。ベンダに依存しない共通指標として広く使われている。
出典・参考
公式シラバスの3 技術要素 ＞ 3. セキュリティ技術評価 ＞ (1) セキュリティ評価基準に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。