CVSS（共通脆弱性評価システム）とは？

CVSS（共通脆弱性評価システム）とは、脆弱性の深刻度を共通の指標で点数化する国際的な評価手法。攻撃元区分・複雑さ・必要な権限などから求める基本評価基準、攻撃コードの有無などの現状評価基準、自組織の資産価値や対策状況を反映する環境評価基準の3層からなる。

しーぶいえすえす

システムアーキテクト試験の頻出用語／午前II／別名：CVSS、共通脆弱性評価システム

CVSS（共通脆弱性評価システム）の意味

脆弱性の深刻度を共通の指標で点数化する国際的な評価手法。攻撃元区分・複雑さ・必要な権限などから求める基本評価基準、攻撃コードの有無などの現状評価基準、自組織の資産価値や対策状況を反映する環境評価基準の3層からなる。

公表された基本値9.8の脆弱性でも、当該機能をインターネットから遮断していれば環境評価で下がる。運用設計では「基本値7.0以上かつ外部公開系は72時間以内に緊急パッチ、それ以外は次回定期適用」のように、点数と適用期限を対応付けて手順化する。

CVSSは脆弱性そのものの評価であり、リスク（発生可能性×影響）そのものではない。基本値だけで対応順を決めると、自組織で悪用不能な脆弱性に工数を吸われる。CVE（脆弱性の識別番号）と混同しないことも頻出。

最終更新：2026-08-25／解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。