正解：ウ
各選択肢の解説
ア基本評価の値が同じなのでCVSS上は差がなく、公表日の早い順に対応する。
誤り。CVSSは基本評価だけで終わりではなく、時間とともに変わる要素を 脅威評価として加えられます。公表された値が基本評価だけのことが多いため 「CVSS＝基本評価の値」と思いがちですが、悪用の状況は評価に反映できます。
イ悪用の状況は補足評価に記録する情報なので、スコアに反映させて優先度を付ける。
誤り。補足評価は、自動化できるかや安全への影響など、判断の参考になる情報を 添えるもので、スコアの値は変えません。悪用の状況は補足ではなく、 スコアに反映される脅威評価の観点です。
ウ悪用の状況は時間とともに変わる脅威評価の観点なので、これを反映してAを優先する。
正解。攻撃コードの有無や悪用の確認は、時間とともに変わる脅威評価の要素です。 これを加味すると、悪用が確認されているAのほうが自社にとって差し迫った 脅威だと判断できます。Bへの対応が不要になるわけではありません。
エ悪用の状況は脆弱性の特性なので、ベンダーにAの基本評価の値の引上げを求める。
誤り。基本評価は、攻撃の難しさや影響の大きさといった脆弱性そのものの特性を 表し、時間や利用環境では変わらない値です。攻撃コードが出回ったかどうかは 後から変わる事情なので、基本評価ではなく脅威評価で扱います。
理解を深めるために
同じ点数でも「いま狙われているか」で差がつく
CVSSの基本評価は、脆弱性そのものの重さを表す点数です。ただ、同じ重さの弱点でも、 すでに攻撃の道具が出回っているものと、まだ誰も攻め方を見つけていないものでは、 急ぐべき度合いが違います。この「いま狙われているか」を扱うのが脅威評価です。
CVSS v4.0 の評価の観点
現行の版であるv4.0では、評価の観点が4つに分かれています。
- 基本評価（Base）: 脆弱性の本質的な特性。時間や利用環境では変わらない
- 脅威評価（Threat）: 攻撃コードの成熟度など、時間とともに変わる要素
- 環境評価（Environmental）: 利用者の環境に固有の条件
- 補足評価（Supplemental）: 判断の参考になる補足情報。スコアは変えない
v4.0の脅威評価は、以前の版で現状評価と呼ばれていたものにあたります。 ベンダーや公的なデータベースが示す値は、多くの場合基本評価だけです。 悪用の状況は日々変わるので、受け取った側が最新の情報を確かめて反映します。 悪用が確認されていない脆弱性は、脅威評価を反映すると基本評価より低い値になり得ます。 ただし、攻撃コードは後から出てくることがあるため、Bも状況を追い続けて対応します。
混同しやすいものとの違い
| 評価の観点 | 扱う内容 | スコアへの影響 |
|---|---|---|
| 脅威評価 | 攻撃コードの有無など、時間で変わる要素 | 反映される |
| 基本評価 | 脆弱性そのものの特性 | 反映される（時間で変わらない） |
| 環境評価 | 自社の利用環境に固有の条件 | 反映される |
| 補足評価 | 判断の参考になる補足情報 | 変えない |
試験では、条件が「時間とともに変わるか」「自社の環境に固有か」「スコアを変えるか」の どれにあたるかで、評価の観点を見分けます。