CVSSとは？しーぶいえすえす
CVSSとは、脆弱性の深刻度を、攻撃の実行しやすさと影響の大きさから0.0〜10.0の数値で表す共通評価方式。ベンダごとにばらつく「危険度」の言い方を1つの尺度にそろえ、修正の優先順位を組織をまたいで議論できるようにする。
最終更新：2026-10-06
この語が出る過去問を解く →背景
同じ脆弱性でも公表元によって「緊急」「重要」と表現が異なり、複数ベンダの製品を使う組織は横並びで比べられなかった。対応要員が限られる組織ほど、どれから手を付けるかの根拠を経営や監査に説明できないことが運用上の壁になる。共通の点数と評価項目の内訳を公開する形にすることで、判断の根拠を第三者に示せるようにしたのがCVSSである。
具体例
仕様はFIRSTが策定し、IPAとJPCERT/CCが運営する脆弱性対策情報データベースJVN iPediaでは各脆弱性に基本値と評価項目の内訳が載る。社内では「基本値9.0以上かつ外部公開サーバに該当するものは○日以内に修正適用」のように、点数と資産の重要度を組み合わせた基準をあらかじめ決めておく。
試験での引っ掛け
基本評価基準の点数を、そのまま自社の対応優先度と同一視しない。基本値は時間や利用環境に左右されない固定的な性質だけを表す指標で、攻撃コードの出回り具合を映す現状評価基準と、自社の資産価値や対策状況を反映する環境評価基準を重ねて初めて自社の優先度になる。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問4（IPA）解説で登場
JVN（Japan Vulnerability Notes）はどれか。
正解：脆弱性対策情報などを提供するポータルサイト
要点：JVNは脆弱性対策情報を公開する国内ポータルサイト
JVNはJPCERT/CCとIPAが共同運営する脆弱性対策情報のポータルサイトで、届出のあった脆弱性とその対策情報を「JVN#」や「JVNVU#」といった番号を付けて公開している。利用者は製品名から自分に関係する脆弱性を検索し、対策の適用状況を判断できる。脆弱性そのものの識別子であるCVEや、深刻度の評価手法であるCVSSとは役割が異なる。
出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問28（IPA）
共通脆弱性評価システム（CVSS）の特徴として，適切なものはどれか。
正解：情報システムの脆弱性の深刻度に対するオープンで汎用的な評価手法であり，特定ベンダに依存しない評価方法を提供する。
要点：CVSSはベンダ非依存の共通尺度で深刻度を0〜10で表す
CVSSは、脆弱性の深刻度を特定のベンダや製品に依存しない共通の尺度で評価するためのオープンな枠組みである。評価基準は基本評価基準・現状評価基準・環境評価基準の三つで構成され、スコアは0.0から10.0の範囲で表される。またv2とv3では評価項目や算出方法が改定されているため、同じ脆弱性でもスコアが一致するとは限らない。
出典：令和7年度 公開問題 情報セキュリティマネジメント試験 科目A・B 問6（IPA）
CVSS v3について、基本評価基準、現状評価基準、環境評価基準のうち、現状評価基準の特徴はどれか。
正解：攻撃コードの出現の有無、利用可能な対策のレベルなどに応じ、評価結果は時間の経過で変化する。
要点：CVSSの現状評価基準は時間で変化する攻撃コードと対策の状況を評価
CVSSは基本評価基準・現状評価基準・環境評価基準の3つで脆弱性を評価します。現状評価基準は、攻撃コード（エクスプロイト）が出回っているか、修正プログラムなど利用可能な対策のレベルはどうかといった、時間とともに変わる要素を評価するものです。したがって、評価結果が時間の経過で変化する点が現状評価基準の特徴です。
出典・参考
公式シラバスの1 技術要素 ＞ 3 セキュリティ技術評価 ＞ セキュリティ評価に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。