コトラ（広報チーム） 
CVSS（共通脆弱性評価システム）とは
CVSSの概要と目的
CVSS（Common Vulnerability Scoring System）は、情報システムやソフトウェアの脆弱性についてその深刻度を評価するための国際的な指標です。その主な目的は、脆弱性を定量的に評価し、一貫性のある基準を用いて異なる組織や環境で優先度を検討できるようにすることです。これにより、セキュリティチームはより客観的かつ効率的に脆弱性への対応策を決定できるようになります。たとえば、CVSSスコアを使用することで、どの脆弱性を最優先で修正するべきかを判断しやすくなります。
セキュリティ分野でのCVSSの重要性
セキュリティ分野では、脆弱性の影響を迅速かつ正確に評価する必要がありますが、ソフトウェアやシステムの脆弱性の種類と影響は多岐にわたります。このような状況でCVSSを活用することで、各脆弱性を同じ基準で比較できるようになり、リソースの優先配分が容易になります。また、CVSSスコアを利用することで、リスクの重大性を第三者に説明する際の指標としても役立ちます。この標準的な評価方法は、組織間のコミュニケーションや脆弱性管理の効率化にも繋がります。
CVSSが誕生した背景
CVSSは、2004年10月に米国家インフラストラクチャ諮問委員会（NIAC）による提案から誕生しました。当時、脆弱性管理の重要性が高まりつつある一方で、脆弱性の深刻度を評価するための統一された基準が存在しませんでした。このような背景から、異なる組織や国々が協力して、脆弱性を定量的に評価するための共通フレームワークの必要性が生じました。そして2005年6月にCVSSバージョン1（v1）が公開され、その後も改訂を重ね、セキュリティ分野における標準的な指標として広く普及するに至りました。
CVEとの違いについて
脆弱性に関連する指標として、CVE（Common Vulnerabilities and Exposures）とCVSSが使われますが、これらには明確な役割の違いがあります。CVEは、個々の脆弱性を識別するための一意のIDを提供します。例えば、特定のソフトウェアの脆弱性に番号を付けて管理する仕組みです。一方、CVSSは、CVEで特定された脆弱性がどの程度深刻であるかを定量的に評価するための仕組みです。したがって、CVEとCVSSは密接に関連しながらも、目的と機能が異なる補完的な存在と言えます。
CVSSスコアの構成と評価基準
基本評価基準について
基本評価基準（Base Metrics）は、CVSSスコアの中心的な要素であり、脆弱性そのものの性質と深刻度を固定的に評価します。この基準は、脆弱性の持つ技術的な特徴や影響を定量的に示すもので、スコア算出において最も重要な役割を果たします。この評価には、攻撃経路（Attack Vector）や攻撃の複雑さ（Attack Complexity）など、脆弱性の悪用しやすさに関する要素に加えて、機密性（Confidentiality）、完全性（Integrity）、可用性（Availability）といった要素の影響度が含まれます。これにより、どのような環境であっても共通した指標として利用できる仕組みになっています。
現状評価基準とその重要性
現状評価基準（Temporal Metrics）は、脆弱性を取り巻く状況が時間とともに変化することを考慮した指標です。例えば、脆弱性が修正パッチによって軽減された場合や、あるいは攻撃手法がより簡単に実現可能になった場合など、これらの影響をスコアに反映する役割を持っています。この基準は、新たな脅威が発見された場合や、脆弱性の修正状況を反映することで、スコアのリアルタイム性と実用性を高めます。CVSS v4.0ではこの基準を「脅威評価基準（Threat Metrics）」と呼び、セキュリティの現状をより効率的に反映した形に改良されています。
環境評価基準の役割
環境評価基準（Environmental Metrics）は、特定の環境や組織における脆弱性の深刻度を評価するための基準です。この基準では、組織固有の資産の重要度やセキュリティ対策の状況、脆弱性によって受ける影響の大きさなどを考慮します。たとえば、ある同じ脆弱性でも、単一のシステムに影響を及ぼす場合と、広範囲のネットワークを麻痺させる可能性がある場合とでは、深刻度は異なります。この基準のおかげで、各組織が自らの状況に合わせた適切な対策優先順位を立てることが可能となります。
例: 具体的なスコア評価のプロセス
CVSSスコアの評価プロセスには、複数のステップがあります。例えば、あるソフトウェアに脆弱性が見つかった場合、最初に基本評価基準に基づいて、その脆弱性の影響範囲や悪用される可能性を評価します。次に、現状評価基準を活用して、この脆弱性に関連する新たな情報や緩和策が評価にどのような変化をもたらすかを考慮します。さらに環境評価基準を用いて、自社のシステムや運用基盤でのリスクを見積もります。たとえば、ある脆弱性が攻撃経路「リモートからの利用可能」、複雑さ「中程度」、影響が「すべて高い」の場合、基本スコアが大幅に上がる可能性があります。この計算に公式ツールを利用することも一般的です。このように、脆弱性のスコアは複数の観点から評価することで、各組織や状況にマッチしたリスク管理を実現しています。
CVSSスコアの深刻度分類
CVSSスコアの範囲と深刻度レベル
CVSSスコアは、脆弱性の深刻度を定量的に評価するための指標で、0.0から10.0の範囲で表されます。このスコアは、脆弱性の持つ危険性とその影響範囲を簡単に理解するための重要な数値です。そして、スコアに基づいて以下のような深刻度レベルが定義されています：
- 緊急（Critical）：9.0～10.0
- 重要（Important）：7.0～8.9
- 警告（Warning）：4.0～6.9
- 注意（Attention）：0.1～3.9
- なし（None）：0
この分類により、スコアが高ければ高いほど、対象となる脆弱性が深刻であり、早急な対応を必要とすることを示しています。組織はこれらのレベルを参考にして、適切な対応やリソースの割り当てを行うことができます。
スコアが意味する脆弱性の危険度
CVSSスコアは、単なる数値ではなく、脆弱性がどの程度危険であるかを示す重要な指標です。たとえば、スコアが9.0以上である場合、その脆弱性は容易に悪用され、多くの場合、組織やシステム全体に深刻な影響を及ぼすと考えられます。一方、スコアが1.0のような低い場合、悪用の可能性が低く、影響も限定的であることを前提とします。
スコアは、悪用の難易度、影響の大きさ、環境条件などを基に計算されます。これにより、脆弱性がもたらすリスクを具体的に把握し、対策の優先順位を決める材料として活用されます。
特にスコアが4.0を超える場合は「警告」に該当し、注意が必要です。スコアを理解し適切に対応することで、セキュリティリスクを低減することが可能になります。
高スコアの場合の影響と対応策
CVSSスコアが9.0以上（緊急）または7.0～8.9（重要）に該当する脆弱性は、非常に危険な状態を意味します。こういった高スコアの脆弱性は、外部から悪用されることで、個人情報の流出やシステム停止といった重大な影響を引き起こす恐れがあります。そのため、即時の対応が求められます。
このような場合、対策として以下のようなアプローチが推奨されます：
- 脆弱性を解決するためのセキュリティパッチを迅速に適用する。
- 一時的に脆弱性を悪用されないよう、該当システムのアクセス制御を強化する。
- 詳細なリスク分析を行い、影響を最小限に抑えるための計画を立てる。
また、CVSSスコアが高い脆弱性が発見された場合、さらなる被害を防ぐためにも、システム全体の点検や監視を強化することが重要です。CVSSスコアは早期対応の優先順位を判断するための基準となり、組織が適切なリスク管理を行う助けとなります。
CVSSの活用と最新バージョン
企業や組織でのCVSSスコア利用例
CVSSは、多くの企業や組織において、脆弱性管理の重要な指標として活用されています。具体的には、情報システムやソフトウェアの脆弱性が発見された際に、その脆弱性の深刻度をCVSSスコアを用いて評価します。この評価により、どの脆弱性から優先的に対応すべきかが明確になり、効率的なリスク管理が可能となります。
例えば、大規模な企業では、セキュリティオペレーションセンター（SOC）が毎日多数の脆弱性を監視しています。その中からCVSSスコアが高いものを選び、修正プログラムの適用やシステム変更などの対応を迅速に進めています。また、金融機関や医療機関といったセキュリティリスクが特に高い業界では、CVSSスコアを基に情報漏洩防止策やサービス停止を回避するための対策が計画されています。
CVSS v3とv4の主な違い
CVSS v3とv4の間にはいくつかの重要な違いがあります。CVSS v4は2023年11月にリリースされ、現行のセキュリティ環境や脅威の進化に対応すべく、新たな要素が追加されました。
CVSS v3では「基本評価基準」「現状評価基準（Temporal Metrics）」「環境評価基準（Environmental Metrics）」の三つの指標が使用されていましたが、CVSS v4では「現状評価基準」が「脅威評価基準」に改名されるとともに、追加の要素が導入されています。また、CVSS v4ではスコア算出の際に、複雑な攻撃シナリオや多段階の脆弱性を評価できる仕組みが強化されました。これにより、より正確かつ実用的な脆弱性評価が可能となっています。
最新バージョンの特徴とメリット
CVSS v4の最大の特徴は、現代のサイバー攻撃に合わせた柔軟な評価基準と高い精度を提供することです。例えば、新しい「脅威評価基準」により、攻撃者の能力や具体的なエクスプロイトの発生状況をスコアに反映させることが可能です。また、従来よりも詳細な設定が可能で、組織のリスク許容度や特定の環境に応じたカスタマイズされた評価も容易になりました。
このバージョンアップにより、企業や組織は限定的なリソースを効率的に活用し、より効果的な脆弱性対応が行えるようになります。また、セキュリティ対策の優先順位を適切に判断できるため、業務上の中断を最小限に抑えることができるメリットも挙げられます。
セキュリティリスク軽減の具体的な取り組み
CVSSを活用したセキュリティリスク軽減の具体的な取り組みとして、以下のような方法が考えられます。
まず、発見された脆弱性を迅速に評価し、CVSSスコアの高い脆弱性について優先的に対応する計画を立てます。修正プログラムが公開されている場合には、すぐに適用することでリスクを軽減します。さらに、CVSSスコアだけでなく、環境評価基準を考慮することで、自社システムにおいて特に影響が大きい脆弱性に焦点を当てることが可能です。
また、継続的な脆弱性管理の一環として、脅威インテリジェンスを活用してCVSSスコアの変動を監視し、最新の情報に基づいた対応を行うことが重要です。このように、CVSSを中心としたリスク評価と対策のプロセスを構築することで、組織全体のセキュリティ体制を強化することができます。
CVSSを学ぶ上でのポイントと関連知識
初心者が押さえるべき関連用語
CVSSを理解するうえで、いくつかの関連用語を知っておくことが重要です。「脆弱性」は、システムやソフトウェアに存在するセキュリティ上の欠陥であり、攻撃者に悪用される可能性があります。また、脆弱性を特定するための一意の識別子として「CVE（Common Vulnerabilities and Exposures）」が使用され、CVSSはその脆弱性の深刻度を評価するための指標として機能します。さらに、CVSSには「基本評価基準」「現状評価基準」「環境評価基準」といった3つのメトリクスが含まれ、これらは脆弱性がもたらすリスクを多角的に評価するための基盤となります。
CVSSを実際に計算する方法
CVSSスコアを計算するためには、その脆弱性に関する特性を収集し、各評価基準の要素に基づいて適切にスコアを割り当てる必要があります。例えば「攻撃の複雑さ」や「影響範囲」などが評価項目として挙げられます。初心者でも簡単にCVSSスコアを算出するためには、公式サイトのCVSS計算ツールや日本のセキュリティサイト「JVN iPedia」を活用するのがおすすめです。これらのプラットフォームでは、脆弱性に関する質問に回答していくだけで、自動的にスコアが算出されます。これにより、初心者でも直感的にCVSSを理解しやすくなっています。
参考になる資料やツールの紹介
CVSSをさらに深く理解するために役立つ資料やツールがあります。初心者向けには、独立行政法人 情報処理推進機構（IPA）が公開している資料が非常に有用です。また、FIRSTがリリースしている公式ドキュメントでは、最新バージョンであるCVSS v4.0の詳細が確認できます。さらに、実際のスコア計算に使用できるツールには、公式CVSS計算機や「National Vulnerability Database（NVD）」の提供するインタラクティブな計算ツールが含まれます。これらのリソースを活用することで、CVSSに関する理解を深めることができます。
セキュリティ分野で役立つ資格・スキル
CVSSを学び、セキュリティ分野でのキャリアを目指す際には、関連資格を取得することが有利です。例えば「情報セキュリティスペシャリスト試験（SC試験）」や「Certified Information Systems Security Professional（CISSP）」などは、脆弱性管理やリスク評価のスキルが問われるため、CVSSの利用知識が役立ちます。また、具体的なスキルとしては、ネットワーク・セキュリティの基礎知識、脆弱性評価ツールの操作方法、リスクマネジメントの実践能力などを習得することが重要です。資格取得とスキルを組み合わせることで、セキュリティ分野での活躍が期待できます。
