情報セキュリティマネジメント 平成30年度 秋期 午前 問28

✓ これが正解イ 情報システムの脆弱性の深刻度に対するオープンで汎用的な評価手法であり，特定ベンダに依存しない評価方法を提供する。

解説

CVSSは特定ベンダに依存しない、オープンで汎用的な脆弱性の評価手法です。

共通脆弱性評価システムのCVSSは、情報システムの脆弱性の深刻度を評価するための共通の物差しです。仕様が公開されたオープンなものであり、特定のベンダの製品や独自の採点方法に依存せず、どの組織でも同じ基準で深刻度を数値化して比較できます。この汎用性こそがCVSSの狙いなので、オープンで汎用的な評価手法であり特定ベンダに依存しない評価方法を提供するという説明が適切です。深刻度のスコアは0.0から10.0までの範囲の数値で表され、値が大きいほど深刻と判断されます。

ほかの選択肢の解説

• ア CVSS v2とCVSS v3は，脆弱性の深刻度の算出方法が同じであり，どちらのバージョンで算出しても同じ値になる。：CVSS v2とCVSS v3では深刻度の算出方法が改められており、同じ脆弱性でもバージョンによって算出される値は変わり得ます。どちらで算出しても同じ値になるわけではありません。
• ウ 脆弱性の深刻度を0から100の数値で表す。：深刻度を表すスコアの範囲は0から100ではありません。0.0から10.0までと決められており、この範囲は現行の版でも変わっていません。100点満点と混同させる引っ掛けです。
• エ 脆弱性を評価する基準は，現状評価基準と環境評価基準の二つである。：設問当時のCVSS v3では、評価の基準は基本評価基準・現状評価基準・環境評価基準の三つで構成されていました。現状評価基準と環境評価基準の二つだけとする説明は基本評価基準が抜けています。