３．CVSSv3を利用した影響分析

Copyright © 2024 独立行政法人情報処理推進機構

0共通脆弱性評価システムCVSS～ CVSS とは何か ～ CVSS とは…
Common Vulnerability Scoring System（共通脆弱性評価システム）
 脆弱性に対する汎用的な評価指標
 脆弱性の深刻度を 0.0 ～ 10.0 で数値化
 3 つの基準で脆弱性の深刻度を評価
Copyright © 2024 独立行政法人情報処理推進機構

1

共通脆弱性評価システムCVSS～ CVSS の特徴 ～標準化された評価基準であるソフトウェアやハードウェアのベンダに依存しない評価基準のため、異なった製品間の脆弱性を比較する物差しになる

オープンである
脆弱性を評価する方法（計算式）が公開されており、誰でもCVSS スコアを採点することが可能

多数の組織が支持している
多くの組織が CVSS を採用しており、同じ視点で評価作業を進めることが容易
Copyright © 2024 独立行政法人情報処理推進機構

2

共通脆弱性評価システムCVSS～ CVSS の利用目的 ～脆弱性の深刻度を評価するある脆弱性の深刻度について、非常に深刻なものなのか、さほど深刻でないものなのかを数値で確認することができる。

脆弱性対策の優先順位をつける
複数の脆弱性がある時、どの脆弱性がより深刻なのかを比較し、対策に優先順位をつけることができる。

Copyright © 2024 独立行政法人情報処理推進機構

3

共通脆弱性評価システムCVSS～ CVSS の確認 ～IPAが提供する JVN iPedia で CVSS を公開
CVSS v3 と CVSS v2 を併記

https://jvndb.jvn.jp/ja/contents/2020/JVNDB-2020-004445.html
Copyright © 2024 独立行政法人情報処理推進機構

4

共通脆弱性評価システムCVSS～ CVSS v2.0 と CVSS v3.0 の違いについて ～CVSS v2.0 から CVSS v3.0 への変更点
 CVSS v2.0

- 2007年6月に仕様公開- 多くは v3.0 と併記する形で残存

CVSS v2

攻 どこから攻撃可能であるか
撃 攻撃元区分 （AV:Access Vect or）の 攻撃する際に必要な条件の複雑さ
難 攻撃条件の複雑さ （AC： Access Compl exi t y）
易
攻撃するために認証が必要であるか度 攻撃前認証要否 （Au： Aut hent i cai t on）

 CVSS v3.0

- 2015年6月に仕様公開- 仮想化等、技術環境の変化を取込み- 2019年6月に v3.1 を仕様公開
CVSS v3

どこから攻撃可能であるか
攻撃の難
易度

攻撃元区分 （AV:At t ack Vect or）

攻撃する際に必要な条件の複雑さ
攻撃条件の複雑さ （AC： At t ack Compl exi t y）

攻撃する際に必要な特権レベル
必要な特権レベル （PR： Pri vi l eges Requi red）

攻撃する際に必要なユーザ関与レベル
ユーザ関与レベル （UI： User Int eract i on）

詳細は下記ページを参照
https://www.ipa.go.jp/security/vuln/scap/cvss.html
https://www.ipa.go.jp/security/vuln/scap/cvssv3.html
Copyright © 2024 独立行政法人情報処理推進機構

5

共通脆弱性評価システムCVSS～ CVSS v3.0 と CVSS v3.1 の違いについて ～CVSS v3.0 から CVSS v3.1 への変更点
 スコアリング指針の明確化••

攻撃元区分(AV: Attack Vector)の隣接ネットワークに、MPLS、VPNなどを使って接続された管理ネットワークを含めた。
ソーシャルエンジニアリング攻撃などで、ダウンロードした不正なファイルを開いた場合の攻撃は、攻撃元区分(AV: Attack Vector)をローカルとする。など

 v3.0 計算式の不具合の修正

ただし、計算式の不具合の修正による数値上の変動は、最大0.1の増減に留まる。
• 言語によって小数計算に誤差が生じる問題• 環境評価の再評価において、評価が逆転してしまう問題

 CVSS 拡張• 独自の評価基準を追加できるようにした。

Copyright © 2024 独立行政法人情報処理推進機構

6

共通脆弱性評価システムCVSS～ 直近のCVSSの状況 ～2023年11月にCVSS v4.0 が公開された
 「基本評価基準」の精密化•••「攻撃の実行条件」を追加「スコープ」の代わりに「後続システムへの影響」（機密性や完全性や可用性）を追加「ユーザ関与レベル」について、従来の要/不要の2択から、アクティブ/パッシブ/なしの3択になり、詳細な評価が可能になった 「現状評価基準」や「環境評価基準」 に関する変更• 「現状評価基準」は「脅威評価基準」に名称を改め、評価項目は「利用可能な対策のレベル」と「脆弱性情報の信頼性」が削除され、「攻撃される可能性」のみに変更• OT関連システムに関する評価として、環境評価基準では人身への被害を考慮し、「後続システムの完全性への影響」、「後続システムの可用性への影響」に関する評価値として「安全性」を追加 「補助評価基準」を追加• CVSSのスコアには関係しないが、脆弱性対策を行う上での組織内での評価に有効な「回復可能性」や「対応の困難度」等の評価項目を追加

Copyright © 2024 独立行政法人情報処理推進機構

7

共通脆弱性評価システムCVSS～ 直近のCVSSの状況 ～2023年11月にCVSS v4.0 が公開された
 CVSSスコアの命名規則に関する変更•

従来は評価結果を評価の段階に応じて「基本値」「現状値」「環境値」と呼称していたのを、使用した評価基準に応じて名称が決まる形式に変更された

例：CVSS-BE(基本評価基準（Base Metrics）と環境評価基準（Environmental Metrics）で評価)
CVSS-BT(基本評価基準（Base Metrics）と脅威評価基準（Threat Metrics）で評価)

・NVDで提供されるCVSSはv3のみとなっている（2024年3月時点）
・古い脆弱性対策情報ではCVSS v2,v3両方が提供されている・CVSS v4の情報は提供が始まっていない

詳細はCVSSを管理しているFIRST(Forum of Incident Response and Security Teams)のWebサイトをご確認下さい

https://www.first.org/cvss/v4-0/
Copyright © 2024 独立行政法人情報処理推進機構

8収集した脆弱性の評価～自組織への影響を分析するために～

Ｓｔｅｐ１

情報の絞込み
全ての情報

Ｓｔｅｐ２

脆弱性の深刻度を確認

必要＞ ＞

自組織に関連する情報を抽出

脆弱性の特性や攻撃状況を確認

Copyright © 2024 独立行政法人情報処理推進機構

Ｓｔｅｐ３

自組織への影響を分析

後でも緊急自組織の環境を考慮した対策を実施

9

Step1 情報の絞込み～自組織に関連する情報を抽出～

日々公表される膨大な数の脆弱性
2023年に登録された脆弱性の件数だけでも約29,000件

脆弱性情報を全て確認するのは無理。
どうすれば…

NVD：Statistics Results(RefineSearch)https://nvd.nist.gov/vuln/search/statistics?form_type=Basic&results_type=statistics&search_type=all&isCpeNameSearch=false
Copyright © 2024 独立行政法人情報処理推進機構

10

Step1 情報の絞込み～自組織に関連する情報を抽出～

自組織に必要な情報だけを抽出することが重要
 自組織で利用している（関係する）ソフトウェアの情報を収集。
 収集した情報の中で、「技術的危険度が高いもの」を確認。
 収集した情報の中で、「攻撃に悪用される可能性が高いもの」を確認。
脆弱性対策情報（全件）
自組織で利用しているソフトウェア
技術的危険度が高い
攻撃に悪用される可能性が高い
Copyright © 2024 独立行政法人情報処理推進機構

11

Step2 脆弱性の深刻度を確認～脆弱性の特性や攻撃状況を確認～

Ｓｔｅｐ１

情報の絞込み全ての情報
必要
自組織に関連する情報を抽出

Copyright © 2024 独立行政法人情報処理推進機構

Ｓｔｅｐ２

脆弱性の深刻度を確認＞ ＞
脆弱性の特性や攻撃状況を確認

Ｓｔｅｐ３

自組織への影響を分析

後でも緊急自組織の環境を考慮した対策を実施

12

Step2 脆弱性の深刻度を確認～脆弱性の深刻度を確認する際のポイント～脆弱性に対する評価指標

ポイント

１．脆弱性固有の深刻度はどの程度か？
２．いつ被害を受けてもおかしくない状況か？
３．自組織のシステムは危険なのか？
Copyright © 2024 独立行政法人情報処理推進機構

13

Step2 脆弱性の深刻度を確認～攻撃状況やシステムの影響度を加味した評価～

脆弱性の深刻度を表す評価「脆弱性の特性」×「攻撃状況」×「システムへの影響度」

どういう攻撃可能か？
何が侵害されるか？

既に攻撃事例があるか？
対策パッチは出ているか？

システムが機密情報を保持しているか？
システムへの攻撃のしやすさは？
システムが攻撃を受けた場合の影響は？

「SQLインジェクション」×「攻撃観測あり」×「対外システム」「SQLインジェクション」×「攻撃観測なし」×「作業用PC」
Copyright © 2024 独立行政法人情報処理推進機構＝深刻度 高＝深刻度 低14

CVSSとは～評価基準一覧～

評価方法は公開されており、だれでもＣＶＳＳスコアを採点することができます
基本評価基準 脆弱性の技術的な特性を評価（0.0 ～ 10.0） 例: ネットワークから攻撃可能なら危険大

Ｓｔｅｐ２

例: 攻撃方法が難しければ危険小

現状評価基準 ある時点における脆弱性を取り巻く状況を評価（0.0 ～ 10.0） 例: ゼロデイ攻撃があれば危険大
例: 攻撃コードが利用不可であれば危険小

環境評価基準 そのシステムにおける問題の大きさを評価（0.0 ～ 10.0） 例: 社内の基幹システムで影響大なら危険大
例: 被害予想が少なければ危険小※現状評価基準および環境評価基準は、基本評価基準を元に算出されます※現状評価を最大と仮定して環境評価を行うことも可能です
Copyright © 2024 独立行政法人情報処理推進機構

15

CVSSv3 基本評価基準～脆弱性そのものの特性を評価～

基本評価基準とは？
 攻撃の難易度
インターネットOR

 攻撃による影響Copyright © 2024 独立行政法人情報処理推進機構

16

CVSSv3 基本評価

～脆弱性そのものの特性を評価～
危険小 ベンダやセキュリティ関連企業が評価をしている
 時間や環境が変化しても評価結果は変わらない

Copyright © 2024 独立行政法人情報処理推進機構

危険大

17

攻撃元区分（Attack Vector）

どこから攻撃可能であるかより遠いところから攻撃されるほど危険度大

Yes

No

Yes

ネットワーク (N)No

隣接 (A)

No

ローカル (L)Yes

物理 (P)

インターネット経由の攻撃が可能かネットワーク経由の攻撃が可能か対象を物理的に操作する必要があるか

危険度大小Copyright © 2024 独立行政法人情報処理推進機構

18

攻撃条件の複雑さ (Attack Complexity)

攻撃する際に必要な条件の複雑さ
攻撃条件がなく攻撃が容易なら危険度大
No

低(L)

Yes

高(H)

危険度大

攻撃に特別な条件が必要か
例：
攻撃対象の情報収集が事前に必要である

小

Copyright © 2024 独立行政法人情報処理推進機構

19

必要な特権レベル(Privileges Required)

攻撃する際に必要な特権のレベル攻撃する際に必要な権限が弱いほど危険度大危険度
大不要 (N)
なんらかの権限が必要か

No

Yes

No低 (L)

Yes

高 (H)

管理者権限が必要か

小Copyright © 2024 独立行政法人情報処理推進機構

20

ユーザ関与レベル(User Interaction)

攻撃する際に必要なユーザ関与レベル
ユーザ側の操作が不要で攻撃が容易であれば危険度大危険度大No不要 (N)

ユーザ（被害者）側の操作が必要か
Yes

要 (R)

小Copyright © 2024 独立行政法人情報処理推進機構

21

CVSSv3 基本評価

～脆弱性そのものの特性を評価～

評価項目
どこから攻撃可能であるか
攻撃の難
易度

攻撃元区分 (AV：Attack Vector)

攻撃する際に必要な条件の複雑さ
攻撃条件の複雑さ(AC：Attack Complexity)

攻撃する際に必要な特権のレベル必要な特権レベル(PR：Privileges Required)

攻撃する際に必要なユーザ関与レベル
ユーザ関与レベル(UI：User Interaction)

攻撃による影響の想定範囲
攻撃による
影
響

スコープ(S：Scope)

機密情報が漏えいする可能性
機密性への影響 (C：Confidentiality Impact)

情報が改ざんされる可能性
完全性への影響 (I：Integrity Impact)

業務が遅延・停止する可能性
可用性への影響 (A：Availability Impact)

危険小
物理(P)

選択肢・ポイント
ローカル(L)高(H)ネットワーク
(N)

隣接(A)

高(H)

低(L)
低(L)

不要(N)

要(R)

不要(N)

変更なし(U)

変更あり(C)

なし(N)

低(L)

高(H)

なし(N)

低(L)

高(H)

なし(N)

低(L)

高(H)

 ベンダやセキュリティ関連企業が評価をしている
 時間や環境が変化しても評価結果は変わらない

Copyright © 2024 独立行政法人情報処理推進機構

危険大22

スコープ(Scope)攻撃による影響の想定範囲
影響の範囲が脆弱性の影響想定範囲を超えて広がれば危険度大
危険度大
Yes

変更あり (C)No

変更なし (U)

攻撃の影響が他のコンポーネントに及ぶか例：
ウェブアプリケーションの脆弱性において、ウェブアプリケーションにアクセスしてきたPCのウェブブラウ
ザにも影響が波及する場合
Copyright © 2024 独立行政法人情報処理推進機構

小23

機密性への影響(Confidentiality Impact)機密情報が漏えいする可能性
すべての情報または重要な情報が漏えいされると危険度大
危険度大

Yes
機密性を損なうか

Yes

高 (H)

No

低 (L)

すべての、または重要な侵害かNoなし (N)小Copyright © 2024 独立行政法人情報処理推進機構

24

完全性への影響(Integrity Impact)情報が改ざんされる可能性
すべての情報または重要な情報が改ざんされると危険度大
危険度大

Yes
完全性を損なうかYes

高 (H)

No

低 (L)

すべての、または重要な侵害かNoなし (N)小Copyright © 2024 独立行政法人情報処理推進機構

25

可用性への影響(Availability Impact)業務が遅延・停止する可能性
対象が完全に停止するまたは継続的に影響があると危険度大
危険度大

Yes
可用性を損なうか

Yes

高 (H)

No

低 (L)

完全に停止、または継続的に侵害かNoなし (N)

小Copyright © 2024 独立行政法人情報処理推進機構

26

CVSSv3 基本評価

～脆弱性そのものの特性を評価～

JVN iPediaでもCVSSv3基本値を公開中
深刻度

基本値

緊急9.0～10.0

重要7.0～8.9

警告

4.0～6.9

注意0.1～3.9

なし0.0

https://jvndb.jvn.jp/ja/contents/2018/JVNDB-2018-001412.html

 CVSSパラメータの選択肢が日本語で確認可能Copyright © 2024 独立行政法人情報処理推進機構

27

CVSSv3 基本評価

～脆弱性そのものの特性を評価～

例：脆弱性固有の特性を見てみる
評価項目
どこから攻撃可能であるか
攻撃の難
易度

攻撃元区分 (AV：Attack Vector)

攻撃する際に必要な条件の複雑さ
攻撃条件の複雑さ(AC：Attack Complexity)

攻撃する際に必要な特権のレベル
必要な特権レベル(PR：Privileges Required)

攻撃する際に必要なユーザ関与レベル
ユーザ関与レベル(UI：User Interaction)

攻撃による影響の想定範囲
攻撃による
影
響

スコープ(S：Scope)

機密情報が漏えいする可能性
機密性への影響 (C：Confidentiality Impact)

情報が改ざんされる可能性
完全性への影響 (I：Integrity Impact)

業務が遅延・停止する可能性
可用性への影響 (A：Availability Impact)

Copyright © 2024 独立行政法人情報処理推進機構

選択肢・ポイント
物理(P)

ローカル(L)

隣接(A)

高(H)
高(H)

ネットワーク
(N)

低(L)
低(L)

不要(N)

要(R)

不要(N)

変更なし(U)

変更あり(C)

なし(N)

低(L)

高(H)

なし(N)

低(L)

高(H)

なし(N)

低(L)

高(H)
28

CVSSとは～評価基準一覧～

評価方法は公開されており、だれでもＣＶＳＳスコアを採点することができます
基本評価基準 脆弱性の技術的な特性を評価（0.0 ～ 10.0） 例: ネットワークから攻撃可能なら危険大
例: 攻撃方法が難しければ危険小

現状評価基準 ある時点における脆弱性を取り巻く状況を評価（0.0 ～ 10.0） 例: ゼロデイ攻撃があれば危険大
例: 攻撃コードが利用不可であれば危険小

環境評価基準 そのシステムにおける問題の大きさを評価（0.0 ～ 10.0） 例: 社内の基幹システムで影響大なら危険大
例: 被害予想が少なければ危険小※現状評価基準および環境評価基準は、基本評価基準を元に算出されます※現状評価を最大と仮定して環境評価を行うことも可能です
Copyright © 2024 独立行政法人情報処理推進機構

29

CVSSv3 現状評価基準～脆弱性の現在の深刻度を評価～

現状評価基準とは？
 実際に攻撃が行われている 攻撃コードが一般に公開(攻撃の予兆)

危険

危険

危険

Copyright © 2024 独立行政法人情報処理推進機構

30

CVSSv3 現状評価

～脆弱性の現在の深刻度を評価～
危険小評価項目
攻撃コード・攻撃手法が実際に利用可能であるか攻撃される可能性 (E：Exploit Code Maturity)

対策がどの程度利用可能であるか利用可能な対策のレベル (RL：Remediation Level)

情報の信頼性はどの程度か
脆弱性情報の信頼性 (RC：Report Confidence)

危険大選択肢・ポイント
未評価
(X)

未実証
(U)

実証可(P)

攻撃可(F)

容易(H)

未評価(X)

正式(O)

暫定(T)

非公式(W)なし(U)

未評価(X)-未確認(U)

未確証
(R)

確認済
(C)

 時間の変化に応じて評価も変化する 未評価を選択すると最も危険度が高い選択をした場合（容易、なし、確認済）と同じ扱いになります
Copyright © 2024 独立行政法人情報処理推進機構

31

攻撃される可能性 (Exploit Code Maturity)攻撃コード・攻撃手法が実際に利用可能であるか
攻撃コードや手法の実現性が高いほど危険度大

Yes
評価するか
No

攻撃コードまたは攻撃手法がどこまで利用可能か

危険度大

容易 (H)
攻撃可 (F)
実証可 (P)
未実証 (U)
小未評価 (X)

Copyright © 2024 独立行政法人情報処理推進機構

危険度大32

利用可能な対策レベル (Remediation Level)

対策がどの程度利用可能であるか
有効な対策が公開されていないほど危険度大

Yes
評価するか
No

対策はどの程度利用可能であるか

危険度大なし (U)非公式 (W)
暫定 (T)
正式 (O)
小未評価 (X)

Copyright © 2024 独立行政法人情報処理推進機構

危険度大33

脆弱性情報の信頼性 (Report Confidence)情報の信頼性はどの程度か信頼性が高いほど危険度大Yes

情報の信頼性はどの程度か

危険度大確認済 (C)

未確証 (R)

評価するか
No

未確認 (U)
小未評価 (X)
Copyright © 2024 独立行政法人情報処理推進機構

危険度大34

Step3 自組織への影響を分析する～自組織への影響を分析するにはどうすれば良いのか？～

Ｓｔｅｐ２

Ｓｔｅｐ３

情報の絞込み

脆弱性の深刻度を確認

自組織への影響を分析

全ての情報

＞ ＞

後でもＳｔｅｐ１

必要
自組織に関連する情報を抽出

Copyright © 2024 独立行政法人情報処理推進機構

脆弱性の特性や攻撃状況を確認

緊急

自組織の環境を考慮した対策を実施

35

CVSSとは～評価基準一覧～

評価方法は公開されており、だれでもＣＶＳＳスコアを採点することができます
基本評価基準 脆弱性の技術的な特性を評価（0.0 ～ 10.0） 例: ネットワークから攻撃可能なら危険大
例: 攻撃方法が難しければ危険小

現状評価基準 ある時点における脆弱性を取り巻く状況を評価（0.0 ～ 10.0） 例: ゼロデイ攻撃があれば危険大
例: 攻撃コードが利用不可であれば危険小

Ｓｔｅｐ３

環境評価基準 そのシステムにおける問題の大きさを評価（0.0 ～ 10.0） 例: 社内の基幹システムで影響大なら危険大
例: 被害予想が少なければ危険小※現状評価基準および環境評価基準は、基本評価基準を元に算出されます※現状評価を最大と仮定して環境評価を行うことも可能です
Copyright © 2024 独立行政法人情報処理推進機構

36

CVSSv3 環境評価基準～ユーザの利用環境も含め、最終的な脆弱性の深刻度を評価～

環境評価基準とは？
 対象システムのセキュリティ要求度を評価（機密性、完全性、可用性を評価） 環境条件を加味した基本評価の再評価

完全性

機密性
Copyright © 2024 独立行政法人情報処理推進機構可用性37

CVSSv3 環境評価

～ユーザの利用環境も含め、最終的な脆弱性の深刻度を評価～

危険小
評価項目
システムにおける機密性の重要度(CR：Confidentiality Requirement)

要求度システムにおける完全性の重要度(IR：Integrity Requirement)

システムにおける可用性の重要度(AR：Availability Requirement)

危険大
選択肢

未評価

低

中

高(X)

(L)

(M)

(H)

未評価

低

中

高(X)

(L)

(M)

(H)

未評価

低

中

高(X)

(L)

(M)

(H)

 対象システムのセキュリティ重要度を自組織で評価
 未評価を選択した場合「中」と同じ扱いになります
Copyright © 2024 独立行政法人情報処理推進機構38機密性の要求度(Confidentiality Requirement)

システムにおける機密性の重要度
システム内に重要性が高い情報があるほど危険度大

危険度大

高 (H)
Yes
じゅ
評価するかNoどの程度の重要性か

中 (M)

低 (L)
小未評価 (X)

Copyright © 2024 独立行政法人情報処理推進機構

危険度は「中」相当
39

完全性の要求度(Integrity Requirement)

システムにおける完全性の重要度システムを改ざんされた際の影響が大きいほど危険度大危険度大高 (H)
Yes
じゅ
評価するか
No

どの程度の重要性か

中 (M)

低 (L)
小未評価 (X)

Copyright © 2024 独立行政法人情報処理推進機構

危険度は「中」相当
40

可用性の要求度(Availability Requirement)

システムにおける可用性の重要度
システムの停止時の影響が大きいほど危険度大危険度大高 (H)
Yes
じゅ
評価するか
No

どの程度の重要性か

中 (M)

低 (L)
小未評価 (X)

Copyright © 2024 独立行政法人情報処理推進機構

危険度は「中」相当
41

CVSSv3 環境評価

～ユーザの利用環境も含め、最終的な脆弱性の深刻度を評価～

再評価例
基本評価基準の攻撃区分は「ネットワーク」だが脆弱性が存在するシステムはインターネット環境からアクセスできない箇所（「隣接」相当）に設置されている。
基本評価基準の必要な特権レベルは「高」だが当該システムはデフォルトの認証機能を無効化（「なし」相当）している。
それ以外は変更なし。
Copyright © 2024 独立行政法人情報処理推進機構

42

CVSSv3 環境評価

～ユーザの利用環境も含め、最終的な脆弱性の深刻度を評価～✓環境条件を加味した基本評価の再評価

危険小評価項目
どこから攻撃可能であるかの再評価
緩和策後の攻撃元区分 (MAV：Modified Attack Vector)

環境条件
を加味した
再評
価

必要な条件の複雑さの再評価
緩和策後の攻撃条件の複雑さ(MAC：Modified Attack Complexity)

必要な特権のレベルの再評価
緩和策後の必要な特権レベル(MPR：Modified Privileges Required)

必要なユーザ関与レベルの再評価
緩和策後のユーザ関与レベル(MUI：Modified User Interaction)

攻撃による影響範囲の再評価
緩和策後のスコープ(MS：Modified Scope)

機密情報が漏えいする可能性の再評価
緩和策後の機密性への影響(MC：Modified Confidentiality Impact)

情報が改ざんされる可能性の再評価
緩和策後の完全性への影響 (MI：Modified Integrity Impact)

業務が遅延・停止する可能性の再評価
緩和策後の可用性への影響 (MA：Modified Availability Impact)

選択肢・ポイント
未評価
(X)

物理(P)

未評価
(X)
未評価
(X)

ローカル(L)
高(H)

高(H)

隣接(A)

ネットワーク
(N)
低(L)

低(L)

不要
(N)

未評価
(X)

要(R)

不要
(N)

未評価
(X)

変更なし
(U)

変更あり
(C)

未評価
(X)

なし
(N)

低(L)

高(H)

未評価
(X)

なし
(N)

低(L)

高(H)

未評価(X)

なし
(N)

低(L)

高(H)

※未評価の場合、基本評価基準と同じ扱いになります
Copyright © 2024 独立行政法人情報処理推進機構

危険大43

CVSSスコアの算出方法について～評価をするためにはCVSSスコアの算出が必要～

CVSSv3 スコアの算出方法について計算が大変そう・・・
どうしたら簡単に計算ができるかな？

https://www.ipa.go.jp/security/vuln/scap/cvssv3.html
Copyright © 2024 独立行政法人情報処理推進機構

44

CVSSスコアの算出方法について～CVSS計算ツールを使ってみる～

評価結果からスコアの自動計算が可能
https://jvndb.jvn.jp/cvss/ja/v31.html

評価値
（スコア）

基本評価基準
リンクをクリック

現状評価基準
環境評価基準Copyright © 2024 独立行政法人情報処理推進機構

45

CVSS全体評価の実施フロー～脆弱性情報を基に自システムの環境に当てはめて評価～ 対応イメージ

製品攻撃情報システム環境評価結果

脆弱性対策情報公開

現状値:「7.0」
開発元

環境値:「9.0」

基本値:「7.0」

システム管理者対策の可否や対策時期を判断する

全体評価値の算出

全体評価値:「9.0」 公開された脆弱性の基本値と、評価した現状値と環境値（未評価も可）により、全体評価値を求める

Copyright © 2024 独立行政法人情報処理推進機構

46

脆弱性対策の進め方のフロー 本セミナーで説明する内容
収集対象
ソフトウェアの把握

脆弱性関連情報の収集

ステップ

適用の判断
（影響分析）

計画

検証

適用

概要

【ステップ１】
管理すべきソフトウェアに関する情報を把握
収集対象ソフトウェアの把握
ソフトウェア名・バージョン・パッチ提供元 等【ステップ２】
脆弱性関連情報の収集管理すべきソフトウェアに関連する脆弱性情報を収集【ステップ３】
適用の判断（影響分析）

適用すべき緊急度や優先度を分析

Copyright © 2024 独立行政法人情報処理推進機構

47

脆弱性対策の進め方のフロー 脆弱性対策は6つのステップで実施
収集対象
ソフトウェアの把握

脆弱性関連情報の収集

ステップ

適用の判断
（影響分析）

概要【ステップ１】
管理すべきソフトウェアに関する情報を把握
収集対象ソフトウェアの把握
ソフトウェア名・バージョン・パッチ提供元 等【ステップ２】
脆弱性関連情報の収集管理すべきソフトウェアに関連する脆弱性情報を収集【ステップ３】
適用の判断（影響分析）

適用すべき脆弱性対策の緊急度や優先度を分析

Copyright © 2024 独立行政法人情報処理推進機構

48

脆弱性対策の進め方のフロー 脆弱性対策は6つのステップで実施
収集対象
ソフトウェアの把握

脆弱性関連情報の収集

適用の判断（影響分析）

計画

検証

適用

ステップ
【ステップ４】
計画

概要
影響分析結果に基づき脆弱性対策実施までのスケジュールや方針を計画【ステップ５】
検証

脆弱性対策を実施することでソフトウェアに影響を与えないかを検証【ステップ６】
適用

脆弱性対策の適用

Copyright © 2024 独立行政法人情報処理推進機構49

まとめ（第３章）
 CVSSとは何か→脆弱性の深刻度を表す評価手法
 CVSSv3が脆弱性をどのように評価しているか→下記、3つの基準で評価を行っている
・基本評価基準
・現状評価基準
・環境評価基準 CVSSv3をどのように使えばよいか→CVSSv3 計算ツールを活用することで評価値を容易に算出可能
Copyright © 2024 独立行政法人情報処理推進機構

50