現状評価基準の特徴｜情報セキュリティマネジメント 令和7年 公開問題 問6

CVSSは、脆弱性の危険度を共通の基準で点数化する仕組みです。製品やベンダーが違っても、0～10.0のスコアで比較できるため、どの脆弱性から優先して対応すべきか判断しやすくなります。

基本評価基準は、その脆弱性がもともと持っている危険度を見るものです。たとえば、攻撃が簡単か、機密性・完全性・可用性にどれくらい影響するかを評価します。

現状評価基準は、その脆弱性が今どれくらい危険かを見るものです。攻撃コードが公開されているか、修正パッチがあるか、回避策があるかなどによって評価が変わります。

環境評価基準は、自分たちの環境ではどれくらい危険かを見るものです。同じ脆弱性でも、インターネットに公開しているシステムと、社内限定のシステムでは対応の優先度が変わることがあります。

つまりCVSSは、脆弱性を「脆弱性そのものの危険度」「現在の危険度」「自社環境での危険度」の3つの観点から評価し、対応の優先順位を決めやすくするための仕組みです。

攻撃コードの出現状況や利用可能な対策などに応じて評価結果が時間の経過とともに変化するため、アが適切です。

3つの基準は、「脆弱性そのものの基本的な深刻度＝基本評価」「時間とともに変わる状況＝現状評価」「利用する組織ごとの環境＝環境評価」と整理すると区別しやすくなります。

イ：脆弱性及び想定される脅威に応じ，製品利用者ごとに評価結果は異なる。
⇒環境評価基準に関する説明です。利用するシステムの重要度や組織固有の環境などを反映するため、同じ脆弱性でも製品利用者によって評価結果が異なる場合があります。

ウ：製品利用者が脆弱性への対応を決めるための評価に用いる基準であり，評価結果は時間の経過で変化しない。
⇒現状評価基準は、攻撃コードや対策方法の提供状況などによって時間とともに変化します。そのため、「時間の経過で変化しない」という部分が適切ではありません。

エ：評価結果は利用環境によらず同じで，かつ，時間の経過でも変化しない。
⇒基本評価基準の特徴に関する説明です。基本評価基準は脆弱性そのものがもつ基本的な特性を評価するため、利用環境や時間の経過による影響を受けにくい基準です。