CVSS（共通脆弱性評価システム）とは？

CVSS（共通脆弱性評価システム）の意味

脆弱性の深刻度を共通の基準で評価し、0.0〜10.0のスコアで表す枠組み。脆弱性そのものの特性を表す基本評価基準、時間経過による変化を表す現状評価基準、利用環境を加味する環境評価基準の3つの視点から評価する。

CVSS（共通脆弱性評価システム）の具体例

ベンダが異なる製品の脆弱性でも、同じ基準のスコアで比較して対応の優先順位を決められる。

CVSS（共通脆弱性評価システム）は試験でどう引っ掛けられる？

CVSSは脆弱性の「深刻度」を評価する仕組みであり、脆弱性を一意に識別する番号はCVE、脆弱性の種類の分類はCWE。役割が異なる。

CVSS（共通脆弱性評価システム）と関連する用語

• ペネトレーションテスト

CVSS（共通脆弱性評価システム）が出た過去問

• 共通脆弱性評価システム(CVSS)の特徴として、適切なものはどれか。

  正解：脆弱性の深刻度に対するオープンで汎用的な評価手法であり、特定ベンダに依存しない評価方法を提供する。

  要点：CVSSはベンダ非依存の共通尺度で脆弱性の深刻度を評価する

  CVSSは、脆弱性の深刻度を共通の物差しで評価するためのオープンな枠組みで、特定のベンダや製品に依存しない評価を可能にする。評価は基本評価基準、現状評価基準、環境評価基準の3つからなり、スコアは0.0から10.0で表される。バージョンによって評価項目や算出方法が異なるため、v2とv3のスコアを直接比較することはできない。

  出典：令和2年度 10月 プロジェクトマネージャ試験 am2 問24（IPA）