情報セキュリティマネジメント試験 科目A 情報セキュリティ管理 練習問題 第16問: CVSS(共通脆弱性評価システム)の性格や、そのスコアの意味についての説明として、最も適切なものはどれか。

正解: 3. CVSSのスコアは技術的な深刻度を表すもので、脆弱性対応の優先度やリスクアセスメントの指標を直接示さない。

「CVSSのスコアは技術的な深刻度を表すもので、脆弱性対応の優先度やリスクアセスメントの指標を直接示さない」が適切です。総務省「国民のためのサイバーセキュリティサイト」の用語集は、この点に留意が必要としています。同じ用語集とIPAの「共通脆弱性評価システムCVSS v3概説」によれば、CVSSはベンダーに依存しない共通の評価方法で、深刻度を同一の基準の下で定量的に比較できます。ホストやシステム単位で評価していたのはv2で、v3はコンポーネント単位で評価する手法を取り込みました。深刻度は、3つの基準を順番に評価して0から10.0の数値で表します。

関連キーワード: CVSS・脆弱性・深刻度・優先度