CVSS（共通脆弱性評価システム）とは？

CVSS v4.0は、脆弱性の重大度をさまざまな観点から評価できるよう、4つの指標グループで構成されています。これらのグループを組み合わせることで、特定のユースケースに応じたスコアを算出することができます。

この4つの指標グループとは、具体的には以下のとおりです。

• 基本指標：脆弱性の本質的な重大度を測定する指標です。
• 脅威指標：現実のエクスプロイト活動を反映する指標です。
• 環境指標：組織の文脈に基づいて重大度をカスタマイズするための指標です。
• 補足指標：対応に関連する追加の文脈を提供する指標です。

各グループは、脆弱性診断および対応ワークフローにおいて、それぞれ異なる役割を担っています。

基本指標は、外部条件とは無関係に、脆弱性の本質的な重大度を測定するものです。基本指標では、脆弱性を悪用する難易度と、悪用された場合に生じる可能性のある影響の両方を評価します。

基本指標は通常、製品ベンダーによって評価され、一度確定されると、時間が経っても変わることはありません。CVSS v4.0では、基本指標が改良され、明確さと詳細度が向上したため、重大度のスコアリングの精度が高まりました。

脅威指標は、現実世界の条件下で脆弱性がどの程度活発に悪用されているかを評価するものです。この指標グループは、エクスプロイトコードが存在するかどうか、実際に悪用事例が確認されているかどうかに焦点を当てています。

脅威活動は時間とともに変化するため、脅威メトリクスは本質的に動的であり、一般的に脆弱性の利用者が脅威インテリジェンスと運用の文脈に基づいて評価します。

主な検討事項は以下のとおりです。

• エクスプロイトコードの入手可能性
• 悪用が積極的または広範囲にわたって存在するエビデンスの有無

環境指標は、組織の特定の環境に応じて脆弱性の重大度を調整するものです。そのため、影響を受けるシステムが特定の組織内で機密性、完全性、可用性にとってどれほど重要であるかが考慮されます。

その結果、環境指標のスコアは、システムの役割、ビジネスへの影響、運用上の制約などによって、組織ごとに大きな差が生じることがあります。

補足指標は、脆弱性への対応に関する意思決定を支援するための追加的な文脈情報を提供するものです。この指標はCVSSスコアの算出には影響しませんが、修復計画を策定するにあたって貴重な気づき（インサイト）を与えてくれます。

補足指標で捉えられる要素の例としては、以下のようなものがあります。

• 攻撃の自動化レベル
• 復旧の複雑さ
• 影響を受けたシステムを復旧させるために必要な労力

ここに挙げた指標はいずれも、組織が重大度のアセスメントから実践的な対応計画へと移行するのに役立ちます。