CVSSとは
CVSS（Common Vulnerability Scoring System：共通脆弱性評価システム）とは、ソフトウェアやOSの脆弱性の深刻さを、共通の基準に基づいて数値（スコア）で評価し、その危険度を分かりやすく示す仕組みです。
脆弱性が見つかっても、それがどれだけ危険で、どれほど急いで修正すべきなのかを判断するのは困難です。CVSSでは、「どれだけ攻撃が容易か」「システムに与える被害の大きさはどの程度か」といった基準を組み合わせて、0.0から最大10.0までのスコアで深刻度を算出します。システム管理者は、このスコアを参考にして、限られたリソースの中でどの脆弱性の対処を優先するかを論理的に判断できます。
具体例
【CVSSスコアの例】
・スコア 9.0〜10.0: 緊急（Critical） -> 最優先で今すぐ修正パッチを適用すべき状態
・スコア 0.1〜3.9 : 注意（Low） -> 優先度は低いが、段階的に対応すべき状態もう少し詳しく
CVSSは、国際規格として標準化されており、主に3つの評価基準（基準値、現状値、環境値）から構成されています。これらは「メトリクス」と呼ばれます。 1つ目の「基本評価基準（Base Metrics）」は、脆弱性そのものが持つ本質的な危険度を評価するもので、時間経過や利用環境によって変化しません。攻撃の難易度（特権が必要か、ネットワーク経由かなど）や、機密性・完全性・可用性への影響度を元に算出されます。 2つ目の「現状評価基準（Temporal Metrics）」は、脆弱性の現在のステータスを評価します。修正パッチの有無や、攻撃コード（実証コード）の出回り状況など、時間とともに変化する要素が反映されます。 3つ目の「環境評価基準（Environmental Metrics）」は、製品を導入しているユーザーの個別環境での重要度や対策状況を評価するものです。 通常、ニュースやJVNなどで公表されるスコアは「基本評価基準」の数値ですが、企業が実際に対処の優先順位を判断する際には、これらの3つの基準を掛け合わせてカスタマイズしたスコアを算出して利用することが効果的です。これにより、自社の環境に真に脅威となる脆弱性に集中して対策を講じることができます。
試験でのポイント
試験対策としては、CVSSの評価値が「0.0から10.0」の範囲で表され、数値が大きいほど深刻度が高いことを基本として覚えておきましょう。さらに、CVSSを構成する3つの評価基準（基本評価基準、現状評価基準、環境値評価基準）のそれぞれの特徴や違いを問う問題がよく出題されます。特に「基本評価基準は脆弱性自体の特性であり変化しない」「現状評価基準はパッチの配布状況などで時間的に変化する」「環境評価基準は組織のネットワーク構成などの利用環境に応じて変化する」というそれぞれの違いを正確に紐づけておく必要があります。また、類似用語であるCVE番号と紐づいて脆弱性の深刻さを表す事実も押さえましょう。
関連する用語
関連用語としては、世界中の脆弱性に一意の番号を付与して識別する「CVE」、日本国内で脆弱性情報を公開するデータベース「JVN」、そして脆弱性に対するセキュリティ修正プログラムである「パッチ（修正プログラム）」などがあります。