基本評価基準，現状評価基準，環境評価基準の三つの基準で情報システムの脆弱性の深刻度を評価するものはどれか。

情報処理安全確保支援士試験／2017年度秋期午前Ⅱ 問13／脆弱性管理 / 評価

選択肢

アCVSS
イISMS
ウPCI DSS
エPMS

正解と解説

正解：ア CVSS

CVSSは脆弱性の深刻度を共通の尺度で評価する枠組みで、脆弱性そのものの特性を評価する基本評価基準、攻撃コードの出回りや対策状況といった時間経過で変わる要素を評価する現状評価基準、利用環境における影響度を評価する環境評価基準の三つで構成される。ベンダに依存しない共通指標として脆弱性情報の共有に用いられる。

この問題を解く（同じ分野をあと8問） →

選択肢ごとの解説

ア正解。基本・現状・環境の三つの基準で脆弱性の深刻度を数値評価する共通指標。
イ情報セキュリティマネジメントの仕組みであり、脆弱性の深刻度を採点する指標ではない。
ウクレジットカード情報を扱う事業者向けのセキュリティ基準。
エ個人情報保護マネジメントシステムのことで、脆弱性評価とは無関係。

出典：平成29年度秋期情報処理安全確保支援士試験午前Ⅱ 問13（IPA）原本の紙面を見る（IPA 問題冊子より）

この問題に出た用語

同じ分野の他の問題

基本評価基準、現状評価基準、環境評価基準の三つの基準で情報システムの脆弱性の深刻度を評価するものはどれか。2019年度秋期午前Ⅱ 問9
CVSS v3の評価基準には,基本評価基準,現状評価基準,環境評価基準の三つがある。基本評価基準の説明はどれか。2018年度春期午前Ⅱ 問1
ソフトウェアの脆弱性管理のためのツールとしても利用されるSBOM(Software Bill of Materials)…2024年度春期午前Ⅱ 問17
JVNなどの脆弱性対策ポータルサイトで採用されているCWEはどれか。2024年度春期午前Ⅱ 問9
脆弱性管理、測定、評価を自動化するためにNISTが策定した基準はどれか。2023年度秋期午前Ⅱ 問12

出典・参考

最終更新：2026-10-06／解説・選択肢ごとの解説は資格暗記が独自に作成しています。問題文と選択肢の出典は上記のとおりです。