情報処理安全確保支援士 2013年 春期 午前2 問10
問題文
基本評価基準、現状評価基準、環境評価基準の三つの基準で IT 製品のセキュリティ脆弱性の深刻さを評価するものはどれか。
選択肢
ア：CVSS（正解）
イ：ISMS
ウ：PCI DSS
エ：PMS
🔒 解説は解答すると表示されます
CVSSによる脆弱性評価【午前2解説】
正解の理由
選択肢アのCVSS（Common Vulnerability Scoring System）は、設問にある「基本評価基準、現状評価基準、環境評価基準」という三つの評価基準を用いて脆弱性の深刻さを定量化する仕組みそのものです。
各基準の対応は次の通りです。基本評価基準（Base）、現状評価基準（Temporal）、環境評価基準（Environmental）。これにより、脆弱性の技術的な影響、時間経過による変化（利用可能な攻撃コードや対処状況）、組織固有の影響度合いを段階的に反映してスコアを算出します。したがって三分類を特徴とするのはCVSSであり、アが妥当です。
各基準の対応は次の通りです。基本評価基準（Base）、現状評価基準（Temporal）、環境評価基準（Environmental）。これにより、脆弱性の技術的な影響、時間経過による変化（利用可能な攻撃コードや対処状況）、組織固有の影響度合いを段階的に反映してスコアを算出します。したがって三分類を特徴とするのはCVSSであり、アが妥当です。
解法ステップ
- 問題文のキーワードを把握：「基本評価基準」「現状評価基準」「環境評価基準」→ 三つの「基準」を持つ標準を問うていると読む。
- 思い浮かべる標準を列挙：脆弱性スコア系（CVSS）／マネジメント系（ISMS）／業界準拠（PCI DSS）など。
- 三基準の名称と対応する用語を照合：Base／Temporal／Environmental と一致するものを選ぶ。
- 他を除外：管理体系や業界規格は「三基準で脆弱性評価」を行う規格ではないため除外する。
（覚え方）「基（Base）→現（Temporal）→環（Environmental）」の順で評価を深める、と覚えると識別が容易です。
選択肢別の誤答解説
- ア: CVSS — 正解。脆弱性の深刻度を三つのメトリクス群で評価し、数値スコアを算出する国際的な標準である。Base（基本）、Temporal（現状）、Environmental（環境）の三群で構成される。
- イ: ISMS — 情報セキュリティマネジメントシステム（代表例：ISO/IEC 27001）。組織の情報セキュリティ管理の枠組み・運用規格であって、脆弱性の深刻度を三分類でスコア化するための指標ではない。
- ウ: PCI DSS — クレジットカード情報保護のための業界セキュリティ基準。要件は脆弱性管理やログ管理等を含むが、「基本／現状／環境」の三基準で脆弱性を数値化する規格ではない。
- エ: PMS — 文脈により意味が異なる略語（例：Patch Management System など）があるが、設問で示す三つの評価基準を定義する標準名称ではない。脆弱性評価スコアリングの用語としては該当しない。
よくある誤解
- 「CVSSのスコアが高ければ即パッチ必須」：CVSSは技術的な深刻度を示すが、組織の業務影響や代替策を踏まえた優先順位付けは別途行う必要がある（環境評価基準で調整する要素がある）。
- 「現状評価基準＝直近のリスク評価」と混同：Temporal（現状）は公開されているエクスプロイトの有無や対処状況など“時間依存”の要素を反映するもので、組織固有の影響はEnvironmentalで調整する。
- 「CVSSは一度決めたら変わらない」：CVSSにはバージョンがあり仕様の更新（例：v4.0の公開）があるため、使用するバージョンの仕様を確認することが重要。
補足コラム
CVSSのBase（基本評価）は、一般に次のカテゴリを含みます：Attack Vector（AV）, Attack Complexity（AC）, Privileges Required（PR）, User Interaction（UI）, Scope（S）, Confidentiality（C）, Integrity（I）, Availability（A）。
TemporalはExploit Code Maturity（E）, Remediation Level（RL）, Report Confidence（RC）などで現状の脅威度を修正し、Environmentalは組織固有の重要度（例えば機密性の重み付け）で最終スコアを補正します。多くの脆弱性DB（例：NVD）はCVSSスコアを付与しており、運用ではこれを出発点にして各組織が優先度を決めます。
TemporalはExploit Code Maturity（E）, Remediation Level（RL）, Report Confidence（RC）などで現状の脅威度を修正し、Environmentalは組織固有の重要度（例えば機密性の重み付け）で最終スコアを補正します。多くの脆弱性DB（例：NVD）はCVSSスコアを付与しており、運用ではこれを出発点にして各組織が優先度を決めます。
FAQ
Q. CVSSスコアの上位・下位でどう優先度づけすべきですか？
A. CVSSは技術的優先度の指標です。組織ではEnvironmentalでの補正や資産の重要度、利用可能な緩和策を踏まえて最終的な優先順位を決めてください。
A. CVSSは技術的優先度の指標です。組織ではEnvironmentalでの補正や資産の重要度、利用可能な緩和策を踏まえて最終的な優先順位を決めてください。
Q. CVSSはどこで確認・計算できますか？
A. 公式サイト（FIRST）やNVDなどの脆弱性データベースにツールや計算機が公開されています。使用するCVSSのバージョンに注意してください。
A. 公式サイト（FIRST）やNVDなどの脆弱性データベースにツールや計算機が公開されています。使用するCVSSのバージョンに注意してください。
Q. TemporalとEnvironmentalの違いは？
A. Temporalは時間依存の脅威状況（攻撃コードの有無、修正状況など）、Environmentalは組織固有の影響度（重要資産か否か等）を反映します。
A. Temporalは時間依存の脅威状況（攻撃コードの有無、修正状況など）、Environmentalは組織固有の影響度（重要資産か否か等）を反映します。
関連キーワード: CVSS、脆弱性評価、ベーススコア、テンポラル、環境スコア、攻撃ベクタ、優先度設定、NVD、FIRST
\ せっかくなら /
情報処理安全確保支援士を
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！