CVSS v3.1: セキュリティ脆弱性評価フレームワーク

2026年6月4日

Common Vulnerability Scoring System (CVSS) v3.1 は、セキュリティ脆弱性の深刻度を数値化し比較するための国際標準規格。2020年に改訂されたv3.1では精度向上が図られ、現在も広く使用されている評価フレームワークである。

この記事の目次

CVSSは、セキュリティ製品の脆弱性に対する脅威を明確に量化することで、組織がリスク対策を計画する上で重要な指標となる。評価結果は、深刻度スコア、情報的特性スコア、利用的特性スコアから構成される。

これらの要素は相互に関連しており、個々の脆弱性に対する攻撃者の可能性や影響範囲を正確に把握する役割を果たす。深刻度スコアでは0〜10の整数値が付けられ、具体的な事例としてはCVE-2017-5638のような重大なバグにも対応している。

v3.1では、v3.0からの大きな変更点は主に脆弱性の影響と情報的特性の評価項目が追加されたことである。新たなスコアリングメカニズムにより、脆弱性の深刻度をより正確かつ詳細に把握することが可能となった。

具体的には、例えば「被害範囲」や「修正可能性」といった重要な要素を導入することで、組織は自社製品に対する脆弱性の真実味を正確に評価することができるようになった。これにより、適切なセキュリティ対策が迅速に行われるよう促進される。

CVSSは情報的特性、利用的特性、そして深刻度評価の三段階でスコアリングが行われる。このプロセスは組織が脆弱性を効果的に管理するためのフレームワークとして機能し、業界標準となっている。

各ステップでは、それぞれの観点から脅威の評価を行い、最終的なCVSSスコアが導き出される。この評価プロセスは柔軟性がありながらも一貫性を保っており、結果は一般的に理解され信頼されている。

CVE(Common Vulnerabilities and Exposures)とCVSSは、セキュリティ情報の提供において密接に関連している。CVEが脆弱性を一意に識別する一方で、CVSSはその深刻度を評価する。

例えば、CVE-2017-5638はApache Strutsにおける重大なバグとして報告され、これに対応するCVSSスコアは高い得点となった。このように両者は互いに補完し合い、組織が脆弱性を迅速かつ効果的に管理するために不可欠である。

CVSS v3.1は、セキュリティ脆弱性の評価における重要な指標であり、今後も継続的な改善と進化が見込まれるフレームワークである。

※本記事はIT用語辞典の手書きドラフトです。公開前に最新情報・出典を確認のうえ加筆修正してください。

Post Views: 1

よかったらシェアしてね！