質問: リンク内容 IPAのCVSS評価基準のうち評価する基準のうちスコープの考え方についてです。 スコープの定義として「計算機資源に対する管理権限の範囲」と記載があります。 こちらは同一サーバ内に対しての記載となっています。 お伺いしたいのはあるサービスが異なるサーバ間で連携している場合に、 スコープは跨ったスコープととらえてよいかということです。 ※以下イメージ図 ![イメージ説明](https://teratail.storage.googleapis.com/uploads/contributed_images/3b95f0ead6d770391054525f706e8885.png) リンク先の「2.1.5. スコープ(S:Scope)」には上記のようなケースはなかったのですが、 そもそもスコープの考え方として別の機器にまたがったスコープというものはないのでしょうか? 分りにくい質問になってしまい、恐縮ですがよろしくお願いいたします。
回答: 該当するとすれば、H、Iに該当するのではないでしょうか。 もちろん、どのような役割を持つかにより変わると思います。 Aを信頼してBが動作するとか、Aの結果をもとにBが動作をするといった場合、Aの脆弱性がBに影響を与えることを指しているのだと思います。