基本評価基準、現状評価基準、環境評価基準の三つの基準で情報システムの脆弱性の深刻度を評価するものはどれか。

頻出応用情報技術者試験／2021年度秋期午前問41／セキュリティ / 組織的対策

選択肢

アCVSS
イISMS
ウPCI DSS
エPMS

正解と解説

正解：ア CVSS

CVSS（Common Vulnerability Scoring System）は、脆弱性の深刻度を共通の尺度で数値化する仕組みで、脆弱性そのものの特性を表す基本評価基準、時間経過による状況を表す現状評価基準、利用環境を加味した環境評価基準の3つで構成される。ベンダに依存しない共通指標として広く使われている。

この問題を解く（同じ分野をあと9問） →

選択肢ごとの解説

ア正しい。基本・現状・環境の3基準で脆弱性の深刻度を評価するのがCVSSである。
イISMSは情報セキュリティマネジメントシステムであり、脆弱性の採点手法ではない。
ウPCI DSSはクレジットカード情報を扱う事業者向けのセキュリティ基準である。
エPMS（個人情報保護マネジメントシステム）は個人情報の保護を管理する仕組みである。

出典：令和3年度秋期応用情報技術者試験午前問41（IPA）原本の紙面を見る（IPA 問題冊子より）

この問題に出た用語

同じ分野の他の問題

ある組織ではCSIRTとPSIRTが設置されている。セキュリティインシデントのうち、PSIRTが対応するものはどれか。2025年度秋期午前問40
ソフトウェアの情報セキュリティ対策のうち，SBOM（Software Bill Of Materials）管理ツールを用…2025年度春期午前問40
欧米などの企業，組織で行われている"セキュリティクリアランス"の事例はどれか。2025年度春期午前問39
ソフトウェアのセキュリティ管理に使用されるSBOMはどれか。2024年度秋期午前問43
JIS Q 31000:2019(リスクマネジメントー指針)において、リスク特定で考慮することが望ましいとされている事項…2024年度春期午前問40

出典・参考

最終更新：2026-10-06／解説・選択肢ごとの解説は資格暗記が独自に作成しています。問題文と選択肢の出典は上記のとおりです。