CVSSとは？

CVSSの意味

脆弱性の深刻度を、攻撃の難易度や影響範囲などの基準に基づき0.0〜10.0の点数で客観的に評価するための共通の指標・仕組み。組織間で深刻度の認識をそろえるために使われる。

CVSSの具体例

同じ「認証不要で遠隔から悪用できる」脆弱性はCVSSの基本評価基準で高いスコアが付き、対応の優先度を判断する材料になる。

CVSSは試験でどう引っ掛けられる？

CVSSの「基本評価基準（Base Metrics）」は時間経過や利用環境に左右されない固定的な深刻度を表す指標で、実際の対応優先度は現状評価基準・環境評価基準も加味して判断される。

CVSSと関連する用語

• CVE
• 脆弱性

CVSSが出た過去問

• JVN（Japan Vulnerability Notes）はどれか。

  正解：脆弱性対策情報などを提供するポータルサイト

  要点：JVNは脆弱性対策情報を公開する国内ポータルサイト

  JVNはJPCERT/CCとIPAが共同運営する脆弱性対策情報のポータルサイトで、届出のあった脆弱性とその対策情報を「JVN#」や「JVNVU#」といった番号を付けて公開している。利用者は製品名から自分に関係する脆弱性を検索し、対策の適用状況を判断できる。脆弱性そのものの識別子であるCVEや、深刻度の評価手法であるCVSSとは役割が異なる。

  出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問4（IPA）

• 共通脆弱性評価システム（CVSS）の特徴として，適切なものはどれか。

  正解：情報システムの脆弱性の深刻度に対するオープンで汎用的な評価手法であり，特定ベンダに依存しない評価方法を提供する。

  要点：CVSSはベンダ非依存の共通尺度で深刻度を0〜10で表す

  CVSSは、脆弱性の深刻度を特定のベンダや製品に依存しない共通の尺度で評価するためのオープンな枠組みである。評価基準は基本評価基準・現状評価基準・環境評価基準の三つで構成され、スコアは0.0から10.0の範囲で表される。またv2とv3では評価項目や算出方法が改定されているため、同じ脆弱性でもスコアが一致するとは限らない。

  出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問28（IPA）

• CVSS v3について、基本評価基準、現状評価基準、環境評価基準のうち、現状評価基準の特徴はどれか。

  正解：攻撃コードの出現の有無、利用可能な対策のレベルなどに応じ、評価結果は時間の経過で変化する。

  要点：CVSSの現状評価基準は時間で変化する攻撃コードと対策の状況を評価

  CVSSは基本評価基準・現状評価基準・環境評価基準の3つで脆弱性を評価します。現状評価基準は、攻撃コード（エクスプロイト）が出回っているか、修正プログラムなど利用可能な対策のレベルはどうかといった、時間とともに変わる要素を評価するものです。したがって、評価結果が時間の経過で変化する点が現状評価基準の特徴です。

  出典：令和7年度 （公開問題） 情報セキュリティマネジメント試験 kamokuAB 問6（IPA）