CVSS（共通脆弱性評価システム）とは？しーぶいえすえす
CVSS（共通脆弱性評価システム）とは、脆弱性の深刻度を、製品やベンダをまたいで同じものさしで評価し、0.0〜10.0のスコアで表す枠組み。脆弱性そのものの特性を見る基本評価基準、対策公開など時間経過による変化を見る現状評価基準、自組織での重要度を加味する環境評価基準の3つの視点から評価する。
最終更新：2026-10-06
この語が出る過去問を解く →背景
脆弱性の危険度は、以前はベンダごとに「緊急」「重要」といった独自の表現で公表されていて、複数の製品を組み合わせて使う組織は横並びで比較できず、どれから直すかを決められなかった。評価の観点と算出方法を公開して共通化することで、対応の優先順位を組織として判断できるようにしたのがCVSS。PMには、稼働中システムの是正措置の順序を決める根拠になる。
具体例
FIRST（Forum of Incident Response and Security Teams）が策定し、国内ではIPAとJPCERT/CCが運営するJVNがスコアを公表している。ベンダの異なる製品の脆弱性でも同じ基準で並べられるため、スコアのしきい値で対応期限を決める運用ルールが作れる。
試験での引っ掛け
CVSSが表すのは深刻度で、脆弱性を一意に識別する番号はCVE、脆弱性の種類の分類はCWE。3者の役割が違う。基本評価基準の値だけでは自組織のリスクは決まらず、環境評価基準まで加味して初めて優先順位の根拠になる点も押さえる。
関連用語
出た過去問
出典：令和2年度 10月試験 プロジェクトマネージャ試験 午前Ⅱ 問24（IPA）
共通脆弱性評価システム(CVSS)の特徴として、適切なものはどれか。
正解：脆弱性の深刻度に対するオープンで汎用的な評価手法であり、特定ベンダに依存しない評価方法を提供する。
要点：CVSSはベンダ非依存の共通尺度で脆弱性の深刻度を評価する
CVSSは、脆弱性の深刻度を共通の物差しで評価するためのオープンな枠組みで、特定のベンダや製品に依存しない評価を可能にする。評価は基本評価基準、現状評価基準、環境評価基準の3つからなり、スコアは0.0から10.0で表される。バージョンによって評価項目や算出方法が異なるため、v2とv3のスコアを直接比較することはできない。
出典・参考
高度試験 午前I（高度午前I 相当）のシラバスの3 技術要素 ＞ 3. セキュリティ技術評価 ＞ (1) セキュリティ評価基準に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。