- CVSS共通脆弱性評価システム（Common Vulnerability Scoring System）
- 脆弱性の深刻度を 0.0〜10.0 の数値で表す、共通の評価の方法。FIRST が仕様を管理している。
このページの内容
意味
CVSS は、脆弱性の性質（ネットワークから攻撃できるか、認証が要るか、どんな影響があるか など）を項目ごとに評価し、深刻度を数値にする方法です。国際的な団体 FIRST が仕様を管理しており、バージョン 3.1 と 4.0 が使われています。IPA も日本語で解説しています。
| 数値 | 深刻度 |
|---|---|
| 0.0 | なし（None） |
| 0.1〜3.9 | 低（Low） |
| 4.0〜6.9 | 中（Medium） |
| 7.0〜8.9 | 高（High） |
| 9.0〜10.0 | 緊急（Critical） |
読むときに気をつけること
- CVSS の基本の数値は、脆弱性そのものの性質の評価で、自社の環境での影響の大きさではない
- 同じ脆弱性でも、評価した機関やバージョン（3.1 と 4.0）で数値が違うことがある。どこの値かを添えて書く
- 実際に悪用されているかは CVSS では分からない。KEV への掲載なども合わせて見る
secubell のレポートでの扱い
プロのレポートで、公表された CVSS の値と、どこが評価した値かを出典つきで載せています。
レポートの中身プロの中身を見る →
原典・参考にした資料
- FIRST「Common Vulnerability Scoring System SIG」
- 独立行政法人情報処理推進機構（IPA）「共通脆弱性評価システムCVSS概説」
このページは secubell が公開情報をもとにまとめた一般的な解説です。法的な判断や、個別の状況への助言ではありません。内容は原典で確かめ、自社の契約・体制に合わせてお使いください。法令上の報告・通知が要るかどうかの最終的な判断は、お客様ご自身と、弁護士などの専門家で行ってください。