SSVCとは？

SSVCとは、脆弱性対応の判断を、点数ではなく決定木で導く枠組み。悪用の状況、システムの公開範囲、業務への影響、対象資産の役割といった問いに答えていくと、「即時対応」「予定内対応」「様子見」などの行動が決まる。立場（利用者・開発者・調整機関）ごとに木を使い分ける。

えすえすぶいしー

情報処理安全確保支援士試験の頻出用語／午前II

SSVCの意味

脆弱性対応の判断を、点数ではなく決定木で導く枠組み。悪用の状況、システムの公開範囲、業務への影響、対象資産の役割といった問いに答えていくと、「即時対応」「予定内対応」「様子見」などの行動が決まる。立場（利用者・開発者・調整機関）ごとに木を使い分ける。

「悪用コードが公開されている」→「インターネットから到達可能」→「停止すると業務が止まる」と辿ると即時対応、同じ脆弱性でも社内限定の検証環境なら様子見、と結論が変わる。判断の分岐が残るため、なぜその優先度にしたかを後から監査で説明できる。

単一の数値に丸めないことが利点であり欠点でもある。CVSSのように機械的な閾値でソートできないため、資産情報の整備が前提になる。「スコアが高い順に直す」運用からの置き換えを問われたら、この前提条件に触れる必要がある。

最終更新：2026-08-25／解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。