読み：しーぶいえすえす ／ 分野：IT・システム
CVSSは、システムの脆弱性の深刻度を0〜10の点数で表す世界共通の評価基準です。
CVSS（しーぶいえすえす）とは、ソフトウェアやシステムに見つかった脆弱性（セキュリティ上の弱点）の深刻度を、0から10までの点数で表す世界共通の評価基準です。点数が高いほど危険度が高く、対応の優先度を判断する材料になります。
意味
CVSSは「Common Vulnerability Scoring System」の略で、脆弱性の深刻度を客観的な数値に変換する仕組みです。攻撃のしやすさや、攻撃を受けた場合の被害の大きさなど、複数の観点を組み合わせてスコアを算出します。算出方法は国際的な団体によって標準化されており、ソフトウェアメーカーやセキュリティ機関が共通の物差しとして利用しています。スコアはおおむね「緊急」「重要」「警告」「注意」といった段階に分類され、対応の緊急度を判断しやすくなっています。CVEという脆弱性ごとの識別番号とセットで公表されることが多く、どの脆弱性がどれくらい危険かを把握する際の基本情報になります。
使われる場面と具体例
- システム管理者が、導入しているソフトウェアの脆弱性情報を確認し、CVSSスコアの高いものから優先してアップデートを適用する場面。
- 情報システム部門が、取引先や委託先のセキュリティ対応状況を説明する際に、CVSSスコアを根拠として提示する場面。
- セキュリティ製品やサービスが、検知した脆弱性の一覧にCVSSスコアを表示し、担当者が対応の順番を判断する場面。
中小企業が押さえたい点
- 自社で使っているソフトウェアやクラウドサービスの脆弱性情報に、CVSSスコアが添えられているか確認する習慣を持つことが大切です。
- スコアが高い脆弱性ほど優先的に対応すべきですが、自社の利用状況によって実際の影響度は変わるため、点数だけで判断しないことも必要です。
- 保守契約や委託先との契約で、脆弱性対応の目安としてCVSSスコアを基準にする場合は、対応期限などを事前に取り決めておくと安心です。
よくある誤解
- CVSSスコアが高いと必ず自社が被害を受けると思われがちですが、実際の影響は利用環境や設定によって異なります。
- CVSSは脆弱性そのものの危険度を示す指標であり、攻撃が実際に発生しているかどうかを示すものではありません。
よくある質問
Q. CVSSのスコアは誰が決めているのですか。
A. 国際的な非営利団体が策定した基準に沿って、脆弱性を発見・報告した機関やセキュリティ組織が算出し公表します。
Q. CVSSとCVEはどう違いますか。
A. CVEは脆弱性を識別するための番号で、CVSSはその脆弱性の深刻度を数値化したものです。両者は組み合わせて使われます。
Q. 専門知識がなくてもCVSSを活用できますか。
A. スコアの段階区分だけを見ても対応の優先順位は判断できるため、詳細な算出方法を理解していなくても活用できます。
関連する用語
関連記事
ほかの用語を探す
