このページの内容
1. ベクトルの文字列を読む
CVSS の値には、評価の中身を表す「ベクトル」という文字列が付きます。たとえば「CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H」は、3.1 の基本評価で 9.8 になる組み合わせです。
| 略号 | 項目 | 値の例と読み方 |
|---|---|---|
| AV | 攻撃の経路 | N＝ネットワーク越しにできる |
| AC | 攻撃の条件の複雑さ | L＝特別な条件が要らない |
| PR | 要る権限 | N＝ログインが要らない |
| UI | 利用者の操作 | N＝利用者が何もしなくても起きる |
| C / I / A | 機密性・完全性・可用性への影響 | H＝影響が大きい |
2. 3.1 と 4.0 の違い
| 項目 | CVSS 3.1 | CVSS 4.0 |
|---|---|---|
| 評価の区分 | 基本・現状・環境 | 基本・脅威・環境・補足 |
| 値の書き方 | 基本値など | CVSS-B・CVSS-BT・CVSS-BE・CVSS-BTE |
| 深刻度の区分 | 0.1〜10.0 を 4 段階 | 同じ 4 段階 |
同じ脆弱性でも、評価した機関や版で値が違うことがあります。値を書くときは「どこが評価した、どの版の値か」を添えてください。
3. 数値だけで判断しない
| 見ること | 理由 |
|---|---|
| 使っているか | 使っていなければ、値が高くても影響は小さい |
| 悪用が確認されたか（KEV など） | 値が中くらいでも、悪用されていれば先に対応 |
| インターネットに公開されているか | 外から届く機器は入口になりやすい |
{{製品名}}の脆弱性は、深刻度の評価が 10 段階で 9.8（開発元の評価、CVSS 3.1）と高く、ログインなしでネットワーク越しに悪用できる種類です。当社では{{件数}}社の委託先が同じ製品を使っているため、照会しています。
報告の型経営層への報告のテンプレート →
よくある質問
- CVSS の値が 9 以上なら、すぐに照会すべきですか。
- 値だけでは決まりません。委託先や自社がその製品を使っているか、悪用が確認されているか、インターネットに公開されているかを合わせて見て、照会の順番を決めます。
原典・参考にした資料
- FIRST「CVSS v3.1 Specification Document」
- FIRST「CVSS v4.0 Specification Document」
- 独立行政法人情報処理推進機構（IPA）「共通脆弱性評価システムCVSS概説」
このページは secubell が公開情報をもとにまとめた一般的な解説です。法的な判断や、個別の状況への助言ではありません。内容は原典で確かめ、自社の契約・体制に合わせてお使いください。法令上の報告・通知が要るかどうかの最終的な判断は、お客様ご自身と、弁護士などの専門家で行ってください。