CVSS（共通脆弱性評価システム）とは？定義から3つの評価基準、スコアの見方、IPA試験対策まで徹底解説

IT関連の勉強をしていて、『CVSS』という言葉に出会い、『いまいちピンとこない……』と頭を悩ませていませんか？

試験では単なる用語の暗記だけではなく、その仕組みや活用シーンが問われます。せっかく勉強するなら、試験に受かるだけでなく、仕事でも役立つ『一生モノの知識』として身につけたいですよね。

この記事では、CVSSの本質を、例を交えながら解説します。難しい理屈を徹底的に噛み砕き、専門用語を使わずにその正体を解き明かします。

肩の力を抜いて、気楽に読み進めましょう。この記事を読み終える頃には、小難しい専門用語がスッと頭に入り、自信を持って問題に挑めるようになっているはずです。試験合格のその先を見据えた『使える知識』を、分かりやすくお届けします。

CVSSとは

CVSS（Common Vulnerability Scoring System）は、日本語で「共通脆弱性評価システム」と呼ばれる国際的な標準指標です。ソフトウェアやシステムの脆弱性（セキュリティ上の欠陥）の深刻度を客観的に評価し、0.0から10.0の数値で表現します。

CVSSは米国の政府機関やセキュリティ業界が採用する仕組みで、世界中どこでも同じ基準で脆弱性を比較・評価できるという大きな利点があります。これにより、IT部門やセキュリティ担当者は限られたリソースの中で、対応すべき脆弱性の優先順位を効率的に判断できるようになります。

CVSSの歴史と現在のバージョン

CVSSは2004年に米国で開発され、その後複数の改良が加えられています。2005年にはCVSS v1、2007年にCVSS v2、2015年にCVSS v3が公開されました。2019年にはより詳細な評価ができるようにCVSS v3.1がリリースされ、現在の最新版はこのv3.1です。さらに2024年にはCVSS v4.0も登場し、採点の判断による揺らぎをさらに減らす工夫が加えられています。

CVSSスコアの意味

スコアの範囲と深刻度レベル

CVSSスコアは0.0から10.0の範囲で表され、数字が大きいほど脆弱性が深刻です。このスコアを基に、5つの深刻度レベルに分類されます。

例えば「CVSS 8.5」と聞いたら、それは「重要」レベルの脆弱性で、できるだけ早く対応する必要があるという意味になります。

CVSSの評価方法

3つの評価基準

CVSSは以下の3つの評価基準を組み合わせてスコアを算出します。多くの場合は基本評価基準だけで評価されていますが、より詳細な評価が必要な場合は他の基準も活用されます。

基本評価基準（Base Metrics）。脆弱性そのものの技術的な特性を評価する基準です。この評価は固定的であり、時間経過や利用環境の違いで変わることはありません。ベンダーやセキュリティ専門家が脆弱性を公表する際、最も重要な指標として用いられます。

現状評価基準（Temporal Metrics）。脆弱性を取り巻く状況の変化を反映する基準です。攻撃コードが公開されたか、修正プログラムが利用可能か、といった脆弱性の周辺状況の変化に対応します。時間とともに値が変わる可能性があります。

環境評価基準（Environmental Metrics）。個別の組織や企業の環境に合わせて評価する基準です。その脆弱性が自社のシステムでどの程度の影響を持つかを判断する場合に活用されます。

基本評価基準の詳細

基本評価基準では、以下の8つの項目を評価して脆弱性の深刻度を算出します。

攻撃元区分（攻撃がどこから来るか）

脆弱性を持つシステムへの攻撃がどの場所から可能かを評価します。

攻撃条件の複雑さ（攻撃が難しいかどうか）

脆弱性を悪用するのに特別な条件が必要かどうかを評価します。

必要な特権レベル（事前にどんな権限が必要か）

脆弱性を悪用するために、攻撃者があらかじめ持っている必要がある権限の程度です。

ユーザー関与レベル（ユーザーの協力が必要か）

脆弱性が悪用される際に、ターゲットユーザーの何らかの操作が必要かどうかです。

スコープ（影響の範囲）

脆弱性の被害がどこまで広がるかを評価します。

機密性への影響（情報漏えいのリスク）

脆弱性を悪用された結果、秘密情報や個人情報がどの程度漏える可能性があるかです。

完全性への影響（情報改ざんのリスク）

脆弱性を悪用された結果、重要な情報がどの程度改ざんされる可能性があるかです。

可用性への影響（システム停止のリスク）

脆弱性を悪用された結果、システムやサービスがどの程度停止する可能性があるかです。

CVSSスコアの計算方法

実際のCVSSスコア計算は複雑な数学式を使いますが、基本的な考え方は次の通りです。

上記の8つの項目ごとに数値を割り当て、それらを組み合わせて「影響度」と「攻撃容易性」を計算します。次に、これら2つの値を組み合わせて最終的なスコアを算出します。

幸いなことに、初心者は計算式を覚える必要はありません。多くの脆弱性情報データベースやセキュリティ企業のWebサイトが、CVSSスコアを自動計算するオンラインツールを提供しています。そうしたツールに各項目の評価値を入力するだけで、自動的にスコアが算出されます。例えば、IPA（情報処理推進機構）が運営する「JVN iPedia」というデータベースでは、脆弱性ごとのCVSSスコアが既に計算・公表されています。

CVSSの実務活用

脆弱性対応の優先順位付け

CVSSスコアの最大の活用場面は、複数の脆弱性が発見された際に、どれから対応すべきかを判断することです。例えば、ある企業が10個の脆弱性を発見した場合、全てを同時に修正することは難しいため、スコアが高いものから順に対応します。

「CVSS 9.5」と「CVSS 2.1」の脆弱性が見つかった場合、前者を優先することは明らかです。

CVEとの関係

脆弱性の世界では「CVE（Common Vulnerabilities and Exposures）」という用語もよく登場します。CVEは脆弱性に付けられた「識別番号」（例：CVE-2024-12345）で、CVSSはその脆弱性の「深刻度」です。つまり、CVEは脆弱性を区別するもので、CVSSはその深刻度を測るものという関係です。

CVSS v3.1での変更点

CVSS v3.1は2019年にリリースされ、v3.0から改良されました。主な変更点は、ユーザー関与レベルの評価がより細かくなったこと、採点時の判断によるブレが減ったことなどです。これにより、より正確で客観的な評価が可能になりました。

CVSSで誤解しやすいポイント

CVSSスコアは「脆弱性がいつ悪用されるか」を示すものではない

CVSSスコアが高いからといって、その脆弱性がすぐに悪用されるわけではありません。CVSSは脆弱性そのものの技術的な危険度を評価するもので、実際に攻撃者が悪用する可能性までは含まれていません。例えば、CVSSスコアが9.5と非常に高い脆弱性でも、攻撃するには特殊な環境設定や事前知識が必要で、実際には悪用されないケースも存在します。一方、CVSSスコアが低くても、攻撃コードが公開され、多くの攻撃者に悪用されている脆弱性もあります。脅威インテリジェンス情報と組み合わせて判断することが重要です。

CVSSスコアは完全に固定的ではない

基本評価基準は脆弱性の技術的な特性に基づくため、通常は変わりません。しかし、現状評価基準は時間とともに変化する可能性があります。例えば、初期段階では攻撃コードが公開されていなくても、数週間後に攻撃コードが公表されれば、現状評価基準が更新され、スコアが上昇することがあります。ApacheStruts2の脆弱性では、初期評価時のスコアが7.5でしたが、後に攻撃コードが公開されたため、実質的な危険度が上昇しました。

CVSSスコアは「その組織への影響」を直接的には示さない

CVSSの基本評価基準は、脆弱性に対する一般的な影響度を評価するもので、特定の組織や業界の状況を反映していません。例えば、同じCVSSスコア7.0の脆弱性でも、銀行のシステムに発見されれば重大な問題ですが、開発テスト環境に発見されれば優先度は下がるかもしれません。自組織にもたらす実際のリスクを判断するには、環境評価基準を適用することが必要です。

CVSSスコア10.0でも対応の優先順位は変わることがある

CVSS高=即座に対応という単純な判断は危険です。CISAの調査によると、CVSSスコアが「重大」または「高」と判定された脆弱性のうち、実際に悪用される脆弱性は全体の4%に過ぎません。つまり、スコアが高い脆弱性すべてに同じレベルの対応リソースを割く必要はないという意味です。脆弱性のビジネス影響度、現在の脅威状況、修正の難易度などを総合的に勘案して優先順位を決定することが重要です。

CVSSスコアだけで「脆弱性の本当の危険度」は判断できない

CVSSスコアは技術的な深刻度を数値化したものですが、現実世界の攻撃リスクを完全に表現しているわけではありません。例えば、攻撃のしやすさ、既存の防御対策の有効性、組織のセキュリティ成熟度なども総合的に考慮する必要があります。EPSS（エクスプロイタビリティスコア）やリアルリスクスコアといった補足的な指標を併用することで、より正確なリスク判断ができます。

基本評価基準と現状評価基準、環境評価基準の違いが混乱しやすい

基本評価基準は「誰もが同じスコアを使う」共通物差しです。現状評価基準は「状況の変化を反映させる」追加情報です。環境評価基準は「うちの環境では?」という自組織への適用です。この3つの関係を理解することが重要です。

CVSSスコアの計算式は非常に複雑だが、初心者が学ぶべきは「構造」である

CVSSスコアを算出する計算式は複雑ですが、初学者が試験対策として計算式を完全に覚える必要はありません。重要なのは「攻撃の容易さ」「影響の大きさ」という2つの軸で脆弱性を評価する仕組みを理解することです。実務では公式の計算ツール（FIRST CVSS Calculator、NVD CVSS Calculatorなど）を使用して自動算出します。試験では、スコア範囲と深刻度の対応関係、8つの評価項目の意味、3つの評価基準の違いを理解していることが問われます。

混同注意！CVSSと間違いやすい用語

CVSSとCVE

CVSSとCVEはセキュリティ分野で最も混同しやすい用語です。

具体例で考えると、「CVE-2025-57352」という脆弱性があったとき、「この脆弱性はCVSS 5.3（中程度）の危険度です」と説明します。CVEは「何の脆弱性か」、CVSSは「どれくらい危険か」という異なる情報を提供しています。

試験では「脆弱性の識別番号は何か」と聞かれたらCVE、「深刻度を数値で示すものは何か」と聞かれたらCVSSと答えるようにしましょう。

CVSSとCWE

CWEは脆弱性の「種類」や「原因」を分類する仕組みです。

例えば、「XSS（クロスサイトスクリプティング）」という脆弱性があるとき、それはCWE-79という種類（CWE）に分類されます。そして、その脆弱性がどれくらい危険かを評価するのがCVSS（例：6.1）です。CWEは「脆弱性の診断名」、CVSSは「その診断の重症度」というイメージです。

試験では「脆弱性のタイプを分類するものは何か」と聞かれたらCWE、「脆弱性の危険度を数値で表すものは何か」と聞かれたらCVSSと答えましょう。

CVSSと「脅威レベル」「リスク」

CVSSスコアが高い＝その組織にとって高いリスク、という単純な関係ではありません。

CVSSスコアが10.0に近い脆弱性でも、その組織が使用していないソフトウェアの脆弱性であれば、実際のリスクは「なし」です。逆に、CVSSスコアが5.0（中程度）でも、攻撃が実際に行われており、その組織の重要なシステムに存在していれば、リスクは高い可能性があります。

CVSS＝「技術的な危険度の物差し」、リスク＝「その組織にもたらす実質的な悪影響」という異なるレベルの概念であることを理解しましょう。

CVSSスコアの数値が「被害額」を示すわけではない

初学者は「CVSSスコア9.5の脆弱性が悪用されたら、被害が9.5倍大きい」という誤解をすることがあります。そうではなく、CVSSスコアは相対的な「危険度の順序付け」に過ぎません。スコア9.5とスコア5.0の脆弱性があったとき、前者の方が危険度が高いことを示しているだけで、被害額や影響度の絶対値を示すものではありません。

実際の被害額は、そのシステムのビジネス価値、影響を受けるユーザー数、修復にかかるコストなど、多くの要因に左右されます。

「CVSSスコアが高い＝すぐに修正プログラムが出ている」わけではない

CVSSスコアが高い脆弱性でも、修正プログラムの提供に時間がかかる場合があります。特に古いソフトウェアやマイナーなソフトウェアでは、高スコアの脆弱性でもベンダーが修正を優先しないこともあります。逆に、CVSSスコアが低い脆弱性でも、セキュリティパッチが迅速に提供されることもあります。

修正プログラムの有無は、現状評価基準の「Remediation Level（利用可能な対策のレベル）」で評価され、基本評価基準とは別に判断されます。

CVSSスコアが「0」と「未評価」の違い

CVSSスコアが0.0というのは「脆弱性がない状態」を示します。一方、脆弱性データベースに「CVSS未評価」と表記されている場合は「脆弱性は存在するが、スコアが算出されていない状態」です。つまり、スコアなしでも脆弱性は存在し、対応が必要な場合があります。特に新しく発見された脆弱性は、情報不足のため一時的に「未評価」とされることがあります。

【試験別】出題ポイントと対策

各試験の出題傾向と対策について解説します。受験予定の試験にタブを切り替えて確認しましょう。

例題・過去問演習

CVSSに関連する重要用語の解説

CVE（共通脆弱性識別子）

CVEは「Common Vulnerabilities and Exposures」の略で、脆弱性に付けられた一意の識別番号です。脆弱性が発見されると、世界中のセキュリティ専門家が情報を共有するために、各脆弱性に「CVE-2025-57352」のような番号が割り当てられます。

CVEは脆弱性の「名前」のようなもので、「この脆弱性が何なのか」を特定するためのIDです。一方、CVSSは「その脆弱性がどれくらい危険か」を数値で表すものなので、CVEとCVSSは異なる役割を持っています。IT資格の試験では「脆弱性の識別番号は何か」と聞かれたらCVE、「危険度を数値で示すものは何か」と聞かれたらCVSSと区別することが重要です。

CWE（共通脆弱性タイプ）

CWEは「Common Weakness Enumeration」の略で、脆弱性の「種類」や「原因」を分類する仕組みです。同じ原因で発生する脆弱性は、同じCWE番号で分類されます。

例えば「XSS（クロスサイトスクリプティング）」という脆弱性は、CWE-79という種類に分類されます。CWEは脆弱性の「診断名」のようなもので、同じ診断名の脆弱性には同じCWE番号が付けられ、セキュリティ専門家が共通の言葉で脆弱性について議論することができます。

CVSSと混同しないために、「種類・原因を分類する＝CWE」「危険度を数値で評価する＝CVSS」と覚えましょう。

NVD（米国脆弱性データベース）

NVDは「National Vulnerability Database」の略で、米国国立標準技術研究所（NIST）が管理する脆弱性情報のデータベースです。世界中で発見された脆弱性のほぼすべてが登録されており、各脆弱性にはCVSSスコアが付与されています。

NVDは世界的な脆弱性情報の中心的な存在で、脆弱性管理を行う組織は必ずNVDの情報を参照します。NVDに登録されたCVEは、日本のJVN iPediaにも同期される仕組みになっています。試験では「脆弱性情報をスコア付きで確認できるデータベースは何か」と聞かれたらNVDと答えるようにしましょう。

JVN iPedia（日本の脆弱性データベース）

JVN iPediaは、日本の情報処理推進機構（IPA）とJPCERT/コーディネーションセンター（JPCERT/CC）が共同で運営する脆弱性対策情報データベースです。NVDの情報を日本語で提供しており、日本国内の脆弱性情報も掲載されています。

JVN iPediaはNVDをベースにしていますが、日本国内で独自に発見された脆弱性もあり、こうした日本固有の脆弱性を探す場合はJVN iPediaが便利です。また、日本語で説明されているため、初学者にとっても理解しやすいという利点があります。日本でIT資格を学ぶ際は、NVDよりもJVN iPediaを参照することをお勧めします。

まとめ

CVSSについての大事なポイントを改めてまとめましょう。

・CVSSは脆弱性の深刻度を0.0～10.0の数値で評価する国際標準の指標である。

・スコアが高いほど脆弱性は危険で、対応の優先度が上がる。

・基本評価基準は脆弱性そのものの特性を評価し、固定的な値である。

・現状評価基準と環境評価基準は、脆弱性を取り巻く状況や個別の環境に応じて変わる可能性がある。

・攻撃の容易さ（どこから、どれくらい簡単に攻撃できるか）と影響の大きさ（機密性、完全性、可用性への影響）を組み合わせて評価する。

・複数の脆弱性が見つかった場合、CVSSスコアが高い順に対応するのが効率的である。

・多くの脆弱性情報は既にCVSSスコアが計算されているため、初心者は数値の読み方を理解することから始めるのが効果的である。

・CVEは脆弱性の識別番号、CVSSはその深刻度という異なる役割を担っている。

まけまけ

フルスタックエンジニア

会社の研修でpythonを勉強し始めました。