情報セキュリティマネジメント 令和7年度 科目A 問6

✓ これが正解ア 攻撃コードの出現の有無，利用可能な対策のレベルなどに応じ，評価結果は時間の経過で変化する。

解説

現状評価基準は時間の経過で評価結果が変わります。

設問が問うているのは CVSSv3 の三つの基準のうち、現状評価基準の特徴です。三つは見ている軸が違います。基本評価基準は脆弱性そのものの性質を評価するので結果は変わりません。現状評価基準は、攻撃コードが世に出たか、対策がどこまで用意されたかといった、そのときの状況を評価します。状況は日々動くので、評価結果は時間の経過とともに変化します。環境評価基準は、使っている側の利用環境まで含めて最終的な深刻度を評価するので、製品利用者ごとに結果が異なります。製品利用者が対応を決めるために評価するのはこちらです。だから、時間の経過で変化するという特徴が現状評価基準のものです。

ほかの選択肢の解説

• イ 脆弱性及び想定される脅威に応じ，製品利用者ごとに評価結果は異なる。：脆弱性と想定される脅威に応じて製品利用者ごとに結果が異なるのは、利用している環境の事情を加味する環境評価基準の特徴です。そのときの状況を評価する現状評価基準の特徴ではありません。
• ウ 製品利用者が脆弱性への対応を決めるための評価に用いる基準であり，評価結果は時間の経過で変化しない。：この記述は前半も後半も外れています。製品利用者が脆弱性への対応を決めるために評価する基準は環境評価基準であって、現状評価基準はベンダーなど脆弱性を公表する側が現状を表すために評価する基準です。そのうえ現状評価基準の評価結果は時間の経過で変化するので、変化しないという後半も逆になっています。
• エ 評価結果は利用環境によらず同じで，かつ，時間の経過でも変化しない。：利用環境によらず同じで、時間の経過でも変化しないのは、脆弱性そのものの性質を評価する基本評価基準の特徴です。状況の変化を織り込む現状評価基準とは反対の性格です。