令和4年度 III-28

解説

この問題で問われていること

CVSSの特徴に関する5つの記述のうち、不適切なものを選ぶ問題。

解き方

① CVSS=脆弱性の深刻度を、ベンダーに依存しない共通の基準で0.0〜10.0のスコアにする評価方法
② ④「ベンダーに特化した」は、ベンダー中立という性質と逆
③ ④

正解が正しい理由

CVSSは、情報システムの脆弱性の深刻度を、ベンダー(特定の製品や企業)に依存せずに、共通の基準で評価するオープンで汎用的な手法である。したがって、ベンダーに特化した評価方法を提供するとする④は不適切である。

各選択肢について

• ① CVSSは、オープンで包括的、汎用的な評価手法で、適切。
• ② ベンダー、セキュリティ専門家、管理者、ユーザなどの間で、共通の言葉で議論できるようになるというのはCVSSの利点で、適切。
• ③ 脆弱性の深刻度を、同一の基準の下で定量的(0.0〜10.0のスコア)に比較できるは、適切。
• ④ CVSSは、ベンダー中立の共通の評価方法であり、ベンダー特化ではない。不適切で、これが正答。
• ⑤ 基本評価基準では、機密性、完全性、可用性への影響を、攻撃元区分(ネットワークからなど)、攻撃条件の複雑さ、必要な権限などの基準で評価しており、適切。

覚えるべきポイント

CVSSは、脆弱性の深刻度を、0.0〜10.0のスコアで共通基準により評価する。基本評価基準・現状評価基準・環境評価基準の3つから成る。