情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 平成30年度秋期 午前 問28: 共通脆弱性評価システム（CVSS）の特徴として，適切なものはどれか。

正解

イ. 情報システムの脆弱性の深刻度に対するオープンで汎用的な評価手法であり，特定ベンダに依存しない評価方法を提供する。

正答率 73.0%（74人中 54人が正解）

問題の解説

CVSS(共通脆弱性評価システム)の性質を問う問題で、正解はイである。CVSSは脆弱性の深刻度をベンダに依存せず共通の指標で評価するためのオープンな枠組みである。深刻度は0.0〜10.0のスコアで表し、評価基準は基本評価基準・現状評価基準・環境評価基準の三つから成る。

選択肢ごとの解説

• アCVSS v2とv3では評価項目や算出方法が改定されており、同じ脆弱性でもスコアは一致しないため誤り。
• イCVSSは特定ベンダに依存しないオープンで汎用的な脆弱性評価手法であり、正しい。
• ウCVSSの深刻度スコアは0から100ではなく0.0〜10.0の範囲で表されるため誤り。
• エCVSSの評価基準は基本評価基準・現状評価基準・環境評価基準の三つであり、二つとする記述は誤り。