脆弱性管理・CVSSとは？ぜいじゃくせいかんりしーぶいえすえす
脆弱性管理・CVSSとは、自組織の資産にある脆弱性を継続的に洗い出し、直す順番を決めて修正まで追い切る運用。CVSS（Common Vulnerability Scoring System：共通脆弱性評価システム）は深刻度を0.0〜10.0で表す共通指標で、基本評価基準・現状評価基準・環境評価基準の3つの尺度からなる。
最終更新：2026-10-07
高度試験の午前Iを最短で暗記する →背景
公表される脆弱性は年に数万件あり、全部を同じ速さで直すことはできない。ベンダごとに「重要」「緊急」と別の言葉で書かれていては比較すらできないため、共通の物差しで点数化して工数配分の根拠にする。点数は判断の材料であって、判断そのものではない。
具体例
月次でスキャンし、基本評価基準9.8かつインターネットに公開しているサーバの脆弱性は3日以内、同じ点数でも社内限定の機器は次回の定期メンテナンス、といった基準を資産の重要度と組み合わせて定める。
試験での引っ掛け
基本評価基準は脆弱性そのものの性質を表す汎用の値で、自社での実際のリスクではない。公開状況や代替策を織り込む環境評価基準まで見なければ順位は決まらず、「基本値の高い順に直せばよい」とする選択肢は誤りになる。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。