CVSS・CVE・CWEとは？

CVSS・CVE・CWEの意味

脆弱性を共通の物差しで扱うための仕組み。CVEは個々の脆弱性に付ける一意の識別番号、CWEは脆弱性の種類を分類する体系、CVSSは深刻度を0.0〜10.0で表す評価基準。組織横断で情報を突き合わせ、対応の優先順位を決める根拠として使われる。

CVSS・CVE・CWEの具体例

CVSSは、攻撃元区分や必要な権限などから求める基本評価基準に加え、攻撃コードの有無を反映する現状評価基準、自組織での資産価値を反映する環境評価基準がある。同じ基本値でも、外部公開サーバか閉域内かで優先度は変わる。

CVSS・CVE・CWEは試験でどう引っ掛けられる？

CVSS基本値だけで対応順を決めるのは誤り。値は脆弱性そのものの性質を表すだけで、自組織での影響や悪用の現実性は環境・現状の評価で補う必要がある。CVEは分類ではなく個別の採番、CWEは種別の分類という違いも問われる。

CVSS・CVE・CWEと関連する用語

• ペネトレーションテストと脆弱性診断
• 組織的セキュリティ対策の基礎（ISMS・リスクアセスメント）
• ゼロデイ攻撃
• サプライチェーン攻撃とSBOM