問6 CVSS の現状評価基準

情報セキュリティマネジメント試験令和7年度公開問題、全15問のうちの問6。

CVSS v3 について，基本評価基準，現状評価基準，環境評価基準のうち，現状評価基準の特徴はどれか。

ア攻撃コードの出現の有無，利用可能な対策のレベルなどに応じ，評価結果は時間の経過で変化する。
イ脆弱性及び想定される脅威に応じ，製品利用者ごとに評価結果は異なる。
ウ製品利用者が脆弱性への対応を決めるための評価に用いる基準であり，評価結果は時間の経過で変化しない。
エ評価結果は利用環境によらず同じで，かつ，時間の経過でも変化しない。

答えと解説を開く

正解はアです。

CVSS は脆弱性の深刻さを点数で表す共通の物差しで、3 つの基準があります。基本評価基準は脆弱性そのものの性質で決まり、時間や環境で変わりません。現状評価基準は、攻撃コードが出回っているか、修正プログラムなどの対策が出ているかといった今の状況を反映し、時間の経過で変わります。環境評価基準は、その製品を使う組織の環境や重要さを反映し、利用者ごとに変わります。アは現状評価基準の説明です。正解はアです。

ほかの選択肢が違う理由

イ製品利用者ごとに評価結果が異なるのは、環境評価基準の特徴です。
ウ時間の経過で変化しないとしている点が、現状評価基準と合いません。現状評価基準は状況が変われば結果も変わります。
エ環境によらず、時間でも変わらないのは、基本評価基準の特徴です。

仕組み

3 つの基準は「何で変わるか」で覚えます。基本は変わらない、現状は時間で変わる、環境は使う組織で変わる、です。

公表される点数は、たいてい基本評価基準の値です。自分の組織にとっての深刻さは、現状と環境を足して見直します。