情報セキュリティマネジメント 2018年 秋期 午前（科目A） 問28
問題文
共通脆弱性評価システム（CVSS）の特徴として、適切なものはどれか。
選択肢
ア：CVSS v2とCVSS v3は、脆弱性の深刻度の算出方法が同じであり、どちらのバージョンで算出しても同じ値になる。
イ：情報システムの脆弱性の深刻度に対するオープンで汎用的な評価手法であり、特定ベンダに依存しない評価方法を提供する。（正解）
ウ：脆弱性の深刻度を0から100の数値で表す。
エ：脆弱性を評価する基準は、現状評価基準と環境評価基準の二つである。
🔒 解説は解答すると表示されます
共通脆弱性評価システム【情報セキュリティマネジメント解説】
正解の理由
選択肢イが正解です。CVSS（Common Vulnerability Scoring System：共通脆弱性評価システム）は、脆弱性（ソフトウェアなどの欠陥で、攻撃者が不正に利用できる弱点）を「どれくらい深刻か」を評価するためのオープンで汎用的な評価手法です。ここで「オープン」とは評価方法の仕様が公開されていること、「汎用的／ベンダーニュートラル」とは特定のベンダ（製品提供者）に依存せず、誰でも同じ基準で評価できることを意味します。これが選択肢イの内容と一致します。
解法ステップ
- 問題のキーワードを探す：ここでは「オープン」「汎用」「ベンダに依存しない」が重要です。これらはCVSSの基本性質を表します。
- 他の選択肢の事実確認：CVSSのスコア範囲やバージョン差、評価の基準数を思い出す。誤った数値や構成を選んでいないか確認します。
- 正解を決める：キーワードと事実が一致する選択肢を選ぶ。今回それがイです。
選択肢別の誤答解説
- ア: 「CVSS v2とCVSS v3は算出方法が同じ」という主張は誤りです。CVSS v3（v3.0→v3.1など）は指標（メトリクス）や重みづけ、計算式が改訂されており、同じ脆弱性でもv2とv3でスコアが異なることがよくあります。
- ウ: 「0から100の数値で表す」は誤りです。CVSSのスコアは通常 から の数値で表され、小数点1〜2桁で示されます（例：7.5）。パーセンテージのような0〜100ではありません。
- エ: 「評価基準は現状評価基準と環境評価基準の二つ」というのは不正確です。CVSSは主に「基本（Base）評価」「時間的（Temporal）評価」「環境（Environmental）評価」の三つのメトリクス群で構成されます。基本評価が脆弱性の本質的な深刻度を表し、時間的は exploit の公開状況などで変化、環境は利用環境に応じた調整を行います。
よくある誤解
- CVSSのスコア＝ただちに修正優先度、ではない：CVSSは脆弱性の「技術的な深刻度」を示しますが、実際の対応優先度は資産の重要度や業務影響も考慮して決めます。
- 「ベンダーニュートラル＝ベンダは関与しない」ではない：ベンダも自社の製品の脆弱性に対してCVSSスコアを算出・公表しますが、手法自体が特定ベンダに依存しない、という意味です。
- v2とv3は互換で同一評価、ではない：v3で新たに導入・見直しされたメトリクスがあり、同じ脆弱性でもスコアが変わることがあるため注意が必要です。
補足コラム
実務での使い方イメージ：社内で多数の脆弱性情報が入ってきたとき、CVSSの基本スコアで「技術的な危険度」をまず比較します。次に自社でその資産が外部公開されているか、重要な業務を担っているかなどを環境評価で調整し、時間的評価で既に攻撃コードが出回っているかを確認して最終的な対応順を決めます。
目安となるスコア分類（一般的な運用例）：0.0（None）、0.1–3.9（Low）、4.0–6.9（Medium）、7.0–8.9（High）、9.0–10.0（Critical）。また、最新の推奨はCVSS v3.1（2019年版）ですが、採用状況は組織や情報源により異なります。オンラインでCVSS計算ツールが公開されており、実際のメトリクスを入れてスコアを算出できます。
目安となるスコア分類（一般的な運用例）：0.0（None）、0.1–3.9（Low）、4.0–6.9（Medium）、7.0–8.9（High）、9.0–10.0（Critical）。また、最新の推奨はCVSS v3.1（2019年版）ですが、採用状況は組織や情報源により異なります。オンラインでCVSS計算ツールが公開されており、実際のメトリクスを入れてスコアを算出できます。
FAQ
Q1: CVSSは脆弱性を見つけるツールですか？
A1: いいえ。CVSSは「見つかった脆弱性の深刻度を評価する基準」です。脆弱性の収集は別の仕組み（脆弱性データベースや診断ツール）で行います。
A1: いいえ。CVSSは「見つかった脆弱性の深刻度を評価する基準」です。脆弱性の収集は別の仕組み（脆弱性データベースや診断ツール）で行います。
Q2: スコアが高ければ必ずすぐ修正が必要ですか？
A2: 高スコアは優先度上昇のサインですが、実際の対応は資産の重要性や業務影響、既存の緩和策を総合して判断します。
A2: 高スコアは優先度上昇のサインですが、実際の対応は資産の重要性や業務影響、既存の緩和策を総合して判断します。
Q3: v2のスコアからv3に簡単に変換できますか？
A3: 直接の一対一変換は難しく、再評価（v3のメトリクスで算出）するのが確実です。
A3: 直接の一対一変換は難しく、再評価（v3のメトリクスで算出）するのが確実です。
関連キーワード: CVSS、共通脆弱性評価システム、脆弱性スコア、脆弱性管理、セキュリティ優先順位、ベンダーニュートラル、CVSS v3.1
\ せっかくなら /
情報セキュリティマネジメントを
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！