CVSS v3の評価基準には,基本評価基準,現状評価基準,環境評価基準の三つがある。基本評価基準の説明はどれか。

選択肢

• ア機密性への影響,どこから攻撃が可能かといった攻撃元区分,攻撃する際に必要な特権レベルなど,脆弱性そのものの特性を評価する。
• イ攻撃される可能性,利用可能な対策のレベル,脆弱性情報の信頼性など,評価時点における脆弱性の特性を評価する。
• ウ脆弱性を悪用した攻撃シナリオについて,機会,正当化,動機の三つの観点から,脆弱性が悪用される基本的なリスクを評価する。
• エ利用者のシステムやネットワークにおける情報セキュリティ対策など,攻撃の難易度や攻撃による影響度を再評価し,脆弱性の最終的な深刻度を評価する。

正解と解説

正解：ア 機密性への影響,どこから攻撃が可能かといった攻撃元区分,攻撃する際に必要な特権レベルなど,脆弱性そのものの特性を評価する。

CVSS v3の基本評価基準（Base Metrics）は、脆弱性そのものが本質的に持つ特性を、時間や利用環境に左右されない形で評価する指標群である。攻撃元区分（AV）、攻撃条件の複雑さ（AC）、必要な特権レベル（PR）、利用者の関与（UI）といった攻撃可能性の指標と、機密性・完全性・可用性への影響度で構成される。一度算出すれば値は変わらず、CVE等で公表される「深刻度スコア」は通常この基本値を指す。

選択肢ごとの解説

• ア正しい。攻撃元区分・必要な特権レベル・機密性への影響はいずれも基本評価基準の構成要素で、脆弱性固有の性質を測る。
• イ攻撃コードの成熟度や対策のレベル、情報の信頼性は、時間とともに変動する現状評価基準（Temporal）の指標である。
• ウ機会・正当化・動機は不正のトライアングルの考え方であり、CVSSの評価基準には含まれない。
• エ利用者側のシステム環境や対策状況を加味して最終的な深刻度を出すのは環境評価基準（Environmental）である。

同じ分野の他の問題

• 基本評価基準、現状評価基準、環境評価基準の三つの基準で情報システムの脆弱性の深刻度を評価するものはどれか。2019年度 秋期 午前II 問9
• 基本評価基準，現状評価基準，環境評価基準の三つの基準で情報システムの脆弱性の深刻度を評価するものはどれか。2017年度 秋期 午前II 問13
• ソフトウェアの脆弱性管理のためのツールとしても利用されるSBOM(Software Bill of Materials)…2024年度 春期 午前II 問17
• JVNなどの脆弱性対策ポータルサイトで採用されているCWEはどれか。2024年度 春期 午前II 問9
• 脆弱性管理、測定、評価を自動化するためにNISTが策定した基準はどれか。2023年度 秋期 午前II 問12