令和2年度 10月 プロジェクトマネージャ試験 午前Ⅱ 問24
テクノロジ／セキュリティ共通脆弱性評価システム（CVSS）の特徴として，適切なものはどれか。
出典：令和2年度 10月 プロジェクトマネージャ試験 午前Ⅱ 問24
- アCVSS v2とCVSS v3.0は，脆弱性の深刻度の算出方法が同じであり，どちらのバージョンで算出しても同じ値になる。
- イ脆弱性の深刻度に対するオープンで汎用的な評価手法であり，特定ベンダに依存しない評価方法を提供する。
- ウ脆弱性の深刻度を0から100の数値で表す。
- エ脆弱性を評価する基準は，現状評価基準と環境評価基準の二つである。
正解：イ
解説
共通脆弱性評価システム（CVSS）は，情報システムの脆弱性の深刻度を評価するための，オープンで汎用的な評価手法であり，特定のベンダに依存しない共通の基準で脆弱性を評価できる点が特徴です。CVSS v2とv3では算出方法（評価基準や計算式）が異なるため同じ値にはならず，深刻度は0.0〜10.0の数値で表され，評価基準も基本評価基準・現状評価基準・環境評価基準の三つがあります。
選択肢ごとの解説
- ア誤り。CVSS v2とCVSS v3.0では，評価基準の項目や算出方法が変更されており，同じ脆弱性でも算出方法が異なるため，同じ値になるとは限りません。
- イ正しい。CVSSは，脆弱性の深刻度に対するオープンで汎用的な評価手法であり，特定ベンダに依存しない評価方法を提供する点が特徴です。
- ウ誤り。CVSSにおける脆弱性の深刻度は，0から100ではなく，0.0から10.0の数値で表されます。
- エ誤り。CVSSの評価基準は，現状評価基準と環境評価基準の二つではなく，基本評価基準，現状評価基準，環境評価基準の三つです。