共通脆弱性評価システム（CVSS）の特徴として，適切なものはどれか。

選択肢

• アCVSS v2とCVSS v3は，脆弱性の深刻度の算出方法が同じであり，どちらのバージョンで算出しても同じ値になる。
• イ情報システムの脆弱性の深刻度に対するオープンで汎用的な評価手法であり，特定ベンダに依存しない評価方法を提供する。
• ウ脆弱性の深刻度を0から100の数値で表す。
• エ脆弱性を評価する基準は，現状評価基準と環境評価基準の二つである。

正解と解説

正解：イ 情報システムの脆弱性の深刻度に対するオープンで汎用的な評価手法であり，特定ベンダに依存しない評価方法を提供する。

CVSSは、脆弱性の深刻度を特定のベンダや製品に依存しない共通の尺度で評価するためのオープンな枠組みである。評価基準は基本評価基準・現状評価基準・環境評価基準の三つで構成され、スコアは0.0から10.0の範囲で表される。またv2とv3では評価項目や算出方法が改定されているため、同じ脆弱性でもスコアが一致するとは限らない。

選択肢ごとの解説

• アv2とv3は評価項目も算出方法も異なるため、スコアが同じになるとは限らない。
• イ正しい。ベンダに依存しない汎用的でオープンな深刻度評価の手法である。
• ウスコアの範囲は0.0から10.0であり、100点満点ではない。
• エ評価基準は基本・現状・環境の三つであり、二つではない。

同じ分野の他の問題

• 情報セキュリティでの脆弱性の検出に用いられるホワイトボックステストに該当するものはどれか。2026年度 公開問題 科目A・B 問5
• CVSS v3について、基本評価基準、現状評価基準、環境評価基準のうち、現状評価基準の特徴はどれか。2025年度 公開問題 科目A・B 問6
• 国内外に複数の子会社をもつA社では、インターネットに公開するWebサイトについて、A社グループの脆弱性診断基準（以下、A…2022年度 公開問題 科目A・B 問58
• A社は、金属加工を行っている従業員50名の企業である。同業他社がサイバー攻撃を受けたというニュースが増え、A社の社長は情…2022年度 公開問題 科目A・B 問51
• Webサーバの検査におけるポートスキャナの利用目的はどれか。2019年度 秋期 午前 問30