平成30年度 秋期 情報セキュリティマネジメント試験 午前 問28
テクノロジ／セキュリティ共通脆弱性評価システム（CVSS）の特徴として，適切なものはどれか。
出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問28
- アCVSS v2とCVSS v3は，脆弱性の深刻度の算出方法が同じであり，どちらのバージョンで算出しても同じ値になる。
- イ情報システムの脆弱性の深刻度に対するオープンで汎用的な評価手法であり，特定ベンダに依存しない評価方法を提供する。
- ウ脆弱性の深刻度を0から100の数値で表す。
- エ脆弱性を評価する基準は，現状評価基準と環境評価基準の二つである。
正解：イ
解説
CVSS（共通脆弱性評価システム）は、情報システムの脆弱性の深刻度を評価するための、オープンで汎用的な評価手法であり、特定のベンダに依存しない共通の評価方法を提供します。
選択肢ごとの解説
- ア誤り。CVSS v2とCVSS v3では評価項目や算出方法が異なっており、同じ値になるとは限りません。
- イ正しい。CVSSは、脆弱性の深刻度に対するオープンで汎用的な評価手法であり、特定ベンダに依存しない評価方法を提供します。
- ウ誤り。CVSSのスコアは0.0から10.0の数値で表され、0から100ではありません。
- エ誤り。CVSSの評価基準は、基本評価基準、現状評価基準、環境評価基準の三つです。