CVSS
更新日:
用語解説
CVSS（Common Vulnerability Scoring System）は、ソフトウェア、ハードウェア、ファームウェアの脆弱性について、技術的な深刻度を共通の評価項目で表し、0.0〜10.0の数値とベクトル文字列で共有する仕組みです。
■ 試験で押さえるポイント
基本評価では攻撃経路、複雑さ、必要権限、利用者関与、機密性・完全性・可用性への影響など、脆弱性固有の性質を評価します。
v3系は基本・現状・環境評価、v4.0はBase・Threat・Environmental・Supplementalの各指標群を用いるため、版を明記します。
Threatは攻撃実証や悪用状況、Environmentalは自組織の資産重要度や緩和策を反映し、Supplementalは補足情報でスコア自体を変えません。
CVSSは深刻度の尺度で、資産価値、露出、脅威、業務影響を全て含むリスク値ではないため、修正優先度をスコアだけで決めません。
■ 選択肢での判断ポイント
0〜10の共通深刻度、各評価群の役割、版による名称差、CVSSと組織固有リスクの違いを押さえます。
例: Base 9.8でも隔離された未使用機能なら環境条件を加味し、逆に活発な悪用がある公開機器はThreat情報を含めて優先します。