プロジェクトマネージャ 2020年 午前2 問24
問題文
共通脆弱性評価システム（CVSS）の特徴として、適切なものはどれか。
選択肢
ア：CVSS v2とCVSS v3.0は、脆弱性の深刻度の算出方法が同じであり、どちらのバージョンで算出しても同じ値になる。
イ：脆弱性の深刻度に対するオープンで汎用的な評価手法であり、特定ベンダに依存しない評価方法を提供する。（正解）
ウ：脆弱性の深刻度を0から100の数値で表す。
エ：脆弱性を評価する基準は、現状評価基準と環境評価基準の二つである。
🔒 解説は解答すると表示されます
CVSSの評価方式【午前2解説】
正解の理由
CVSS（Common Vulnerability Scoring System）は、脆弱性の深刻度を共通の基準で評価するための、オープンで汎用的な評価手法です。特定の製品ベンダに依存せず、異なる組織や製品間で脆弱性の深刻度を比較しやすくします。
この特徴を述べているのはイです。
解法ステップ
- CVSSが「脆弱性の深刻度を評価する仕組み」であることを確認します。
- 評価尺度の範囲や評価基準の種類に関する選択肢を確認します。
- CVSSが特定ベンダに依存しない共通の評価手法であることから、イを選びます。
選択肢別の誤答解説
- ア：CVSS v2とCVSS v3.0では、評価指標や算出方法が異なります。そのため、同じ脆弱性を評価しても、必ず同じ値になるとは限りません。
- イ：正しいです。CVSSはオープンで汎用的な評価手法であり、特定ベンダに依存しない評価を提供します。
- ウ：CVSSのスコアは、基本的に0.0から10.0までの範囲で表されます。0から100ではありません。
- エ：CVSSの評価基準は、基本評価基準、現状評価基準、環境評価基準の三つです。「現状評価基準と環境評価基準」の二つだけではありません。
よくある誤解
- CVSSのスコアを、0から100までの百分率のような値だと思い込むことがあります。スコアは0.0〜10.0です。
- CVSSのバージョンが異なっても、スコアは常に同じだと考えるのは誤りです。バージョンにより評価指標や算出方法が異なります。
- CVSSスコアが、その組織にとっての被害リスクをそのまま表すと思い込むことがあります。環境評価基準などにより、利用環境に応じた評価も行われます。
補足コラム
CVSSには、脆弱性そのものの特徴を評価する基本評価基準に加え、時間の経過による状況変化を扱う現状評価基準、組織ごとの利用環境を反映する環境評価基準があります。脆弱性情報を見るときは、スコアだけでなく、どの評価基準に基づく値なのかも確認するとよいでしょう。
FAQ
Q. CVSSのスコアが高いほど、必ず自分の組織にとって危険ですか？
A. スコアが高いほど一般に深刻度は高いですが、実際の優先度は、対象システムの利用状況や対策状況なども踏まえて判断します。
A. スコアが高いほど一般に深刻度は高いですが、実際の優先度は、対象システムの利用状況や対策状況なども踏まえて判断します。
Q. CVSSは特定ベンダが自社製品向けに定めた評価方法ですか？
A. いいえ。特定ベンダに依存せず、幅広い脆弱性を共通の基準で評価するための手法です。
A. いいえ。特定ベンダに依存せず、幅広い脆弱性を共通の基準で評価するための手法です。
関連キーワード: CVSS、脆弱性、深刻度、基本評価基準、現状評価基準、環境評価基準
\ せっかくなら /
プロジェクトマネージャを
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！