情報セキュリティマネジメント 2025年 科目A 問06
問題文
CVSS v3について、基本評価基準、現状評価基準、環境評価基準のうち、現状評価基準の特徴はどれか。
選択肢
ア：攻撃コードの出現の有無、利用可能な対策のレベルなどに応じ、評価結果は時間の経過で変化する。（正解）
イ：脆弱性及び想定される脅威に応じ、製品利用者ごとに評価結果は異なる。
ウ：製品利用者が脆弱性への対応を決めるための評価に用いる基準であり、評価結果は時間の経過で変化しない。
エ：評価結果は利用環境によらず同じで、かつ、時間の経過でも変化しない。
🔒 解説は解答すると表示されます
現状評価基準【情報セキュリティマネジメント解説】
正解の理由
CVSS（Common Vulnerability Scoring System：共通脆弱性評価システム）の現状評価基準（Temporal Metrics：テンポラルメトリクス）は、脆弱性の周辺状況を反映してスコアを変化させるための指標です。具体的には、攻撃コード（Exploit Code）の出現の有無、利用可能な対策のレベル（修正プログラムやワークアラウンド）やレポートの信頼度などを評価します。これらは時間とともに変わることが普通なので、評価結果も時間経過で変化します。よって、選択肢の中では ア が該当します。
補足で言うと、CVSSは三つの評価基準で構成され、基本評価（Base）は脆弱性そのものの性質を示し、環境評価（Environmental）は利用環境固有の影響を考慮します。現状評価はその二つの間で「今この瞬間の実用的リスク」を表すものです。
解法ステップ
- CVSS の三つの評価基準（基本/Base、現状/Temporal、環境/Environmental）が何を表すかを思い出す。
- Base：脆弱性固有の特性（時間や環境に依存しない）
- Temporal：現在の外部状況に左右される指標（時間で変わる）
- Environmental：利用者固有の環境に応じて変える指標（利用者ごとに異なる）
- 各選択肢が「時間で変わるか」「利用者ごとに異なるか」「環境に依らないか」などの性質を述べているか照合する。
- 「時間で変化する」を明確に述べているものが現状評価に一致するので選ぶ。
選択肢別の誤答解説
- ア: 正答。攻撃コードの出現、対策の利用可否など、時間とともに変わる要素を評定するため、評価結果は変化する。
- イ: 誤り。これは環境評価（Environmental）の特徴に近い。環境評価は企業や利用者の設定や影響度に応じてスコアが異なる。
- ウ: 誤り。製品利用者が対応判断に使うという点は部分的に合っているが、「時間の経過で変化しない」は現状評価の特徴と矛盾する。現状評価は時間で変わる。
- エ: 誤り。これは基本評価（Base）の一部、「時間や環境に依存しない」性質を示すが、基本評価でも「時間の経過で変化しない」は正しいが、環境には影響されないという文言と合わせると基本評価の説明に近い。しかし選択肢エは「利用環境によらず同じでかつ時間変化なし」と極端に断定しており、現状評価とは無関係。
よくある誤解
- 「現状評価は利用者ごとに異なる」と混同する誤り：利用者ごとに異なるのは環境評価です。現状評価は外部状況（攻撃者動向や対策状況）による変化が中心です。
- 「時間で変わる＝信頼できない」と誤解すること：時間で変わることは欠点ではなく、脆弱性対応の優先度を最新状況で調整するために重要です。
- 「攻撃コード＝必ずスコア上昇」と単純化する誤り：攻撃コードの有無はスコアに影響しますが、修正が出た場合や対策が普及すると低下するなど、複数要素を総合して評価されます。
補足コラム
現場での使い方イメージ：脆弱性通知が来たらまず基本評価（Base）で“その脆弱性自体が危険か”を確認します。次に現状評価（Temporal）を見て、「既に攻撃コードが公開されているか」「公式パッチがあるか」「レポートの信頼性は高いか」をチェックします。攻撃コードが公開され、パッチが無ければ優先度を上げて対応します。最後に自社システム特有の設定（環境評価）で本当に影響が大きいかを判断し、具体的な作業（パッチ適用、回避策の周知）に移します。
現状評価に含まれる主な指標（CVSS v3 の呼称）：
- Exploit Code Maturity（攻撃コードの成熟度：どれだけ簡単に攻撃可能か）
- Remediation Level（対策のレベル：公式パッチやワークアラウンドの有無）
- Report Confidence（報告の信頼度：脆弱性報告が確実かどうか）
これらは英語名と合わせて覚えると実務で情報源を確認するときに便利です。
FAQ
Q1: 現状評価と環境評価、どちらを優先すべきですか？
A1: 優先順位は目的によります。まず現状評価で「今すぐ危険か」を確認して緊急対応の要否を判断し、その後環境評価で自社への影響度合いを評価して具体的対応を決めるのが実務的です。
A1: 優先順位は目的によります。まず現状評価で「今すぐ危険か」を確認して緊急対応の要否を判断し、その後環境評価で自社への影響度合いを評価して具体的対応を決めるのが実務的です。
Q2: 現状評価はどの頻度で見直すべきですか？
A2: 攻撃コードの公開やパッチ公開など状況が変わるたびに見直すのが望ましいです。運用上は脆弱性通知に対して即時または毎日のチェック体制を設ける企業が多いです。
A2: 攻撃コードの公開やパッチ公開など状況が変わるたびに見直すのが望ましいです。運用上は脆弱性通知に対して即時または毎日のチェック体制を設ける企業が多いです。
Q3: 「攻撃コードがない＝安全」と言えますか？
A3: 完全に安全とは言えません。攻撃コードが公開されていなくても脆弱性自体は残るため、将来的に公開されるリスクや、内部の悪用可能性も考慮して対応計画を立てる必要があります。
A3: 完全に安全とは言えません。攻撃コードが公開されていなくても脆弱性自体は残るため、将来的に公開されるリスクや、内部の悪用可能性も考慮して対応計画を立てる必要があります。
関連キーワード: CVSS、現状評価、テンポラルスコア、基本評価、環境評価、脆弱性管理、Exploit Code Maturity、Remediation Level、Report Confidence
\ せっかくなら /
情報セキュリティマネジメントを
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！