CVSSとは？しーぶいえすえす
CVSS（Common Vulnerability Scoring System）は、脆弱性の深刻度を0.0〜10.0の共通尺度で表す評価方式。攻撃元区分・攻撃条件の複雑さ・必要な権限・機密性／完全性／可用性への影響から基本値を算出し、悪用可能性を反映した現状値、自製品の構成を反映した環境値へ補正して修正の優先順位を決める。
最終更新：2026-10-06
エンベデッドSPを最短で暗記・合格する →背景
出荷後10年動く製品では、採用したOSSやプロトコルスタックに後から脆弱性が公表される。ベンダごとに「重大」「中」の言い方が違えば、部品表に並ぶ数百件をどの順に潰すか決められない。共通の物差しをFIRSTが定めたのがCVSSで、SBOM（部品構成表）と突き合わせて初めて自製品への影響が機械的に絞れる。ISO/SAE 21434やIEC 62443が出荷後の脆弱性対応を求めるようになり、リコール相当の緊急対応か次期定期更新送りかを説明する根拠として使われる。
具体例
FIRSTの基準では、ネットワーク経由・認証不要・任意コード実行に至る欠陥は基本値9点台になる。同じ欠陥でも、筐体を開けて基板上のUARTに繋がないと届かないECUなら攻撃元区分を物理（AV:P）として環境値を評価し直し、基本値より数点低い値で次の定期更新へ回す、という判断ができる。
試験での引っ掛け
深刻度の指標であって、実際に悪用が観測されている度合いでも自製品の実リスクそのものでもない。到達経路が無ければ基本値9点でも影響は小さく、逆に基本値5点でも安全機能へ届くならリコール相当になりうる。基本値だけで対応要否を決めると判断を誤る。論述では「基本値で並べ、環境値で到達経路と安全影響を織り込んで順位を確定する」と手順の形で書き切る。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。