応用情報技術者試験 応用情報技術者試験 令和3年度秋期 午前 問41: 基本評価基準，現状評価基準，環境評価基準の三つの基準で情報システムの脆弱性の深刻度を評価するものはどれか。

正解

ア. CVSS

正答率 81.5%（1,364人中 1,111人が正解）

問題の解説

CVSS（共通脆弱性評価システム）は、情報システムの脆弱性の深刻度を、基本評価基準・現状評価基準・環境評価基準の三つの観点で数値化して評価する仕組みである。基本評価基準は脆弱性そのものの特性、現状評価基準は攻撃コードの出現などの時間的な状況、環境評価基準は利用環境での影響を評価する。

選択肢ごとの解説

• ア正しい。CVSS は、基本・現状・環境の三つの評価基準で脆弱性の深刻度を評価する。
• イISMS は、組織が情報セキュリティを管理するための仕組み（情報セキュリティマネジメントシステム）で、脆弱性の深刻度を評価するものではない。
• ウPCI DSS は、クレジットカード情報を扱う事業者が守るべきセキュリティ基準である。脆弱性の深刻度の評価基準ではない。
• エPMS は、個人情報を保護するための管理の仕組み（個人情報保護マネジメントシステム）で、脆弱性の深刻度を評価するものではない。