CVSSとは？しーぶいえすえす
CVSSとは、脆弱性の深刻度を製品や組織をまたいで比較できるよう、共通の基準で0.0〜10.0の数値に表す仕組み。脆弱性そのものの変わらない特性を表す基本評価基準、攻撃コードの出回り具合など時間で変わる現状評価基準、自組織での重要度や緩和策を反映する環境評価基準の3つで構成される。
最終更新：2026-10-06
この語が出る過去問を解く →背景
深刻度をベンダ各社が独自の言葉で「重要」「高」と表現していると、複数の製品を使う組織はどれから直すべきかを判断できない。共通の尺度と算出式を公開し、誰が計算しても同じ値になるようにしたのがCVSSである。ただし共通尺度である以上、自組織の事情は基本値に入らないため、環境評価基準で補う設計になっている。
具体例
JVN iPediaやNVDでは各脆弱性にCVSSの基本値が付き、ベクタ文字列（AV:N/AC:L/PR:N/UI:N など）で評価の内訳が示される。実務では基本値だけで優先度を決めず、その資産が外部公開されているか、緩和策が効いているかを環境評価基準に落として並べ替える。
試験での引っ掛け
基本評価基準は時間が経っても変化しない。攻撃コードが出回った状況を反映するのは現状評価基準、自組織の資産価値や緩和策を反映するのは環境評価基準で、この対応関係が入れ替えて出題される。またCVSSは深刻度の指標であってリスクそのものではなく、資産価値と脅威の現実性を掛け合わせる作業は別に要る。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成29年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問13（IPA）
基本評価基準，現状評価基準，環境評価基準の三つの基準で情報システムの脆弱性の深刻度を評価するものはどれか。
正解：CVSS
要点：CVSSは基本・現状・環境の3基準で脆弱性を評価する
CVSSは脆弱性の深刻度を共通の尺度で評価する枠組みで、脆弱性そのものの特性を評価する基本評価基準、攻撃コードの出回りや対策状況といった時間経過で変わる要素を評価する現状評価基準、利用環境における影響度を評価する環境評価基準の三つで構成される。ベンダに依存しない共通指標として脆弱性情報の共有に用いられる。
出典：平成30年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問1（IPA）
CVSS v3の評価基準には,基本評価基準,現状評価基準,環境評価基準の三つがある。基本評価基準の説明はどれか。
正解：機密性への影響,どこから攻撃が可能かといった攻撃元区分,攻撃する際に必要な特権レベルなど,脆弱性そのものの特性を評価する。
要点：基本評価基準は脆弱性そのものの不変な性質を測る指標
CVSS v3の基本評価基準（Base Metrics）は、脆弱性そのものが本質的に持つ特性を、時間や利用環境に左右されない形で評価する指標群である。攻撃元区分（AV）、攻撃条件の複雑さ（AC）、必要な特権レベル（PR）、利用者の関与（UI）といった攻撃可能性の指標と、機密性・完全性・可用性への影響度で構成される。一度算出すれば値は変わらず、CVE等で公表される「深刻度スコア」は通常この基本値を指す。
出典：令和元年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問9（IPA）
基本評価基準、現状評価基準、環境評価基準の三つの基準で情報システムの脆弱性の深刻度を評価するものはどれか。
正解：CVSS
要点：CVSSは基本・現状・環境の三基準で脆弱性を点数化する
CVSSは脆弱性の深刻度を共通の尺度で数値化する評価手法で、脆弱性そのものの特性を評価する基本評価基準、攻撃コードの出回り具合や対策状況といった時間変化を評価する現状評価基準、利用環境における影響度を評価する環境評価基準の三つで構成される。
出典：令和5年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問12（IPA）解説で登場
出典：令和6年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問3（IPA）解説で登場
様々なサイバー攻撃手法を分類したナレッジベースはどれか。
正解：MITRE ATT&CK
要点：MITRE ATT&CKは攻撃の戦術と技術を体系化したナレッジベース
MITRE ATT&CKは、実際に観測された攻撃者の戦術(Tactics)と技術(Techniques)を体系的に分類・整理したナレッジベースで、防御側が自組織の検知能力を評価する際の共通言語として使われる。よってイが正しい。CVSSは脆弱性の深刻度を数値化する評価指標、STIX/TAXIIは脅威情報の記述形式と交換手順、サイバーキルチェーンは攻撃の段階モデルであり、いずれも手法の分類体系ではない。
出典・参考
公式シラバスの3 技術要素 ＞ 3. セキュリティ技術評価 ＞ (4) 脆弱性評価に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。