脆弱性管理・CVSSとは？ぜいじゃくせいかんりしーぶいえすえす
脆弱性管理・CVSSとは、自組織の資産にある脆弱性を継続的に把握し、危険度と資産の重要度から修正の順序を決める運用が脆弱性管理。CVSSは深刻度を0.0から10.0の数値で表す共通指標で、基本値が見ているのは脆弱性そのものの性質だけ。実際の優先順位は、公開状況や代替策を織り込んだ環境評価基準と、確保できる保守時間の制約から決まる。
最終更新：2026-10-06
システムアーキテクトを最短で暗記・合格する →背景
公表される脆弱性は年に数万件規模で、すべてを即座に直す工数はどの組織にも無い。だから問いは「直すか直さないか」ではなく「どれを先に直すか」になり、その順序を第三者に説明できる共通の物差しとしてCVSSが作られた。設計側での効き方は明快で、依存ライブラリを固定したまま更新できない構成を選んだ時点で、この運用は回らなくなる。更新を前提とした構成にするか、更新しない代わりに露出を絶つかは、稼働後の運用費まで含めた設計判断になる。
具体例
IPAとJPCERT/CCが運営するJVNは各脆弱性にCVSS値を併記しており、深刻度9.8のうちインターネットへ公開しているサーバのものから先に直す、といった基準を運用側と合意して置く。設計側では依存ライブラリの更新をCI上で自動検知できるようにしておくと、この判断が随時の緊急対応ではなく定期作業として回るようになる。
試験での引っ掛け
CVSSの基本値が表しているのは脆弱性そのものの性質だけで、自社での実際のリスクではない。公開状況や代替策を織り込んだ環境評価基準まで見なければ順位は決まらず、「数値が高い順に直せばよい」とする選択肢は誤り。深刻度と悪用されやすさも別の話で、悪用の実績はKEVやEPSSといった指標が扱う。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。