CVSS（共通脆弱性評価システム）とは？

CVSS（共通脆弱性評価システム）とは、脆弱性の深刻度を製品や組織に依存しない共通の尺度で数値化する仕組み。攻撃の難易度や影響の大きさから0.0〜10.0のスコアを算出する。基本評価基準・現状評価基準・環境評価基準の3種類があり、目的に応じて使い分ける。

きょうつうぜいじゃくせいひょうかしすてむ

高度試験・午前I（全区分共通）の頻出用語／午前I（全区分共通）／別名：CVSS、共通脆弱性評価システム

CVSS（共通脆弱性評価システム）の意味

脆弱性の深刻度を製品や組織に依存しない共通の尺度で数値化する仕組み。攻撃の難易度や影響の大きさから0.0〜10.0のスコアを算出する。基本評価基準・現状評価基準・環境評価基準の3種類があり、目的に応じて使い分ける。

基本評価基準が9.8の脆弱性でも、その機器が外部から到達できずインターネットに接する経路が無ければ、環境評価基準を加味したスコアは下がる。この差を根拠に、社内規程で定めた適用期限を延ばす判断とその理由を記録する。

3つの基準の役割を混同しやすい。基本評価基準は時間や環境で変わらない固有の値、現状評価基準は攻撃コードの有無など時間で変わる値、環境評価基準は利用者側の構成を反映した値である。スコアは「発生確率」ではない。

最終更新：2026-08-25／解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。