CVSSv3の現状評価基準を基本・環境と見分けるには
情報セキュリティマネジメント試験 令和7年度 問6 ／ セキュリティ › セキュリティ技術評価
過去問にチャレンジ
CVSSv3について，基本評価基準，現状評価基準，環境評価基準のうち，現状評価基準の特徴はどれか。
- ア
攻撃コードの出現の有無，利用可能な対策のレベルなどに応じ，評価結果は時間の経過で変化する。
- イ
脆弱性及び想定される脅威に応じ，製品利用者ごとに評価結果は異なる。
- ウ
製品利用者が脆弱性への対応を決めるための評価に用いる基準であり，評価結果は時間の経過で変化しない。
- エ
評価結果は利用環境によらず同じで，かつ，時間の経過でも変化しない。
会話形式の解説
講師今回はCVSSv3の問題です。CVSSは共通脆弱性評価システムのことで、脆弱性の深刻度を数値で示す仕組みです。基本・現状・環境という三つの評価基準があり、そのうち現状評価基準の特徴を選びます。「時間で変わるか」と「利用者ごとに変わるか」の2点に注目して選択肢を読んでみてください。
受験者三つの名前は覚えているのですが、中身があいまいです。「現状」というくらいなので、今の状況によって変わるもの、という意味でしょうか。
講師その読み方で合っています。基本評価基準は脆弱性そのものの性質、現状評価基準はその時点で脆弱性を取り巻く状況、環境評価基準は利用者側の環境を評価します。現状評価基準で見る項目は、攻撃コードの成熟度、対策のレベル、報告の信頼度の三つです。
受験者そうすると、攻撃コードが出てきたかどうかや、対策のレベルによって評価が時間とともに変わる、という選択肢がそのまま当てはまりそうです。
講師はい、それが正解です。たとえば攻撃コードが公開されたり、修正パッチが提供されたりすると、評価値が変わります。時間の経過で変化するのが現状評価基準の特徴です。
受験者製品利用者ごとに評価結果が異なる、という選択肢で少し迷いました。状況によって変わるという点では、こちらも近いように思えます。
講師利用者ごとに変わるのは環境評価基準の特徴です。環境評価基準には利用者側のシステムの環境条件が反映されるので、同じ脆弱性でも組織によって値が変わります。現状評価基準は時間では変わりますが、利用者ごとには変わりません。「何によって」変わるのかを区別するのがポイントです。
受験者利用者が対応を決めるための基準で、時間が経っても変化しない、という選択肢はどうでしょうか。前半は環境評価基準の話のように読めました。
講師よく気づきました。前半は環境評価基準の説明に近い内容です。ただし、後半の「時間の経過で変化しない」は現状評価基準には当てはまりません。また、環境評価の値には現状評価の結果も反映されるので、環境評価基準の説明としても正しくありません。別の基準の説明と誤った性質を組み合わせた、典型的な引っかけです。
受験者最後の、利用環境によらず同じで時間が経っても変わらない、というのは基本評価基準ですね。脆弱性に固有の性質だから、どちらにも左右されないということでしょうか。
講師そのとおりです。整理すると、基本は時間でも利用者でも変わらない、現状は時間で変わる、環境は利用者で変わる、となります。環境は現状評価を反映するので、時間でも変わり得る点も押さえておきましょう。
受験者2軸で表のように整理すると、名前の似た基準でも区別しやすくなりそうです。
講師補足として、後継のCVSS v4.0では評価基準の構成が見直され、現状評価基準に当たる部分は脅威評価基準という名称に変わりました。この問題はCVSSv3が前提なので、正解は変わりません。
まとめ
CVSSv3には基本・現状・環境の三つの評価基準があり、現状評価基準の特徴は「攻撃コードの出現や対策のレベルに応じて、評価結果が時間とともに変わる」ことです。現状評価基準では、攻撃コードの成熟度、対策のレベル、報告の信頼度を評価します。基本評価基準は脆弱性に固有の性質を評価するため、環境にも時間にも左右されません。環境評価基準は利用者側の環境条件を反映するため、利用者ごとに値が異なります。「時間で変わるか」「利用者で変わるか」の2軸で整理すると、ほかの基準の説明と誤った性質を組み合わせた引っかけ選択肢を見抜きやすくなります。
解答・解説
正解はアです
この問題のテーマ
CVSSv3の三つの評価基準（基本・現状・環境）のうち、現状評価基準の特徴を見分けられるかを問う問題です。
解き方の考え方
まず、三つの基準がそれぞれ何を評価するのかを整理します。基本評価基準は脆弱性そのものの性質、現状評価基準はその時点で脆弱性を取り巻く状況、環境評価基準は利用者側の環境を評価します。次に、各選択肢の「時間で変化するか」「利用者ごとに異なるか」という2つの観点で、どの基準の説明に当たるかを判定します。現状評価基準は時間とともに変わり、利用者ごとには変わらない基準です。
選択肢ごとの解説
- ○ア 攻撃コードの出現の有無，利用可能な対策のレベルなどに応じ，評価結果は時間の経過で変化する。攻撃コードの出現や対策のレベルに応じて評価結果が時間とともに変わるという説明は、現状評価基準そのものです。現状評価基準の項目には、攻撃コードの成熟度、対策のレベル、報告の信頼度があります。攻撃コードが公開されたり、修正パッチが提供されたりすると、評価値が変わります。
- ×イ 脆弱性及び想定される脅威に応じ，製品利用者ごとに評価結果は異なる。製品利用者ごとに評価結果が異なるという説明は、環境評価基準の特徴です。環境評価基準には利用者側のシステムの環境条件が反映されるため、同じ脆弱性でも組織によって値が変わります。現状評価基準は利用者ごとには変わりません。
- ×ウ 製品利用者が脆弱性への対応を決めるための評価に用いる基準であり，評価結果は時間の経過で変化しない。利用者が対応を決めるための評価という前半は、環境評価基準の説明に近いものです。また、「時間の経過で変化しない」という後半は現状評価基準に当てはまりません。環境評価の値には現状評価の結果も反映されるので、環境評価基準の説明としても正しくありません。
- ×エ 評価結果は利用環境によらず同じで，かつ，時間の経過でも変化しない。利用環境によらず同じで、時間が経っても変わらないという説明は、基本評価基準の特徴です。基本評価基準は脆弱性に固有の性質を評価するため、環境にも時間にも左右されません。
補足
「時間で変わるか」と「利用者で変わるか」の2軸で整理すると覚えやすくなります。基本はどちらでも変わらず、現状は時間で変わり、環境は利用者で変わります（現状評価を反映するため、時間でも変わり得ます）。ウのように、ほかの基準の説明と誤った性質を組み合わせた選択肢が引っかけとして出題されます。
※この問題はCVSSv3を前提に出題されています。後継のCVSS v4.0では評価基準の構成が見直され、現状評価基準（Temporal）に当たる部分は脅威評価基準（Threat）という名称に変わりました。CVSSv3の知識を問う問題としては、正解は変わりません。
POINT
- CVSSは脆弱性の深刻度を数値で示す仕組みで、基本・現状・環境の三つの評価基準があります。
- 基本評価基準は脆弱性に固有の性質を評価するもので、環境や時間によって変わりません。
- 現状評価基準は攻撃コードの成熟度、対策のレベル、報告の信頼度を評価し、時間とともに変わります。
- 環境評価基準は利用者側の環境条件を反映するため、利用者ごとに評価値が異なります。