CVSSとは？評価基準やv4.0の変更点、具体的な項目を解説
CVSSとは、システムやソフトウェアに存在する脆弱性を定量化したスコアのことで、脆弱性における危険度や対応の優先順位付けに役立ちます。本記事では、CVSSスコアの概要や構成する評価基準と各項目の詳細、スコアリングの種類について解説します。
目次
CVSSとは、システムやソフトウェアに存在する脆弱性を定量化したスコアのことです。CVSSスコアを確認すれば、該当する脆弱性の危険度を把握できます。どの脆弱性から対応すれば良いかの優先順位を付ける際にも役立ち、効果的なセキュリティ対策を実施できるでしょう。
本記事では、CVSSスコアの概要や構成する評価基準と各項目の詳細、スコアリングの種類について詳しく解説します。CVSSスコアについて知りたい方、効率的に自社のセキュリティ強化を図りたい方は、ぜひ参考にしてください。
CVSSとは
CVSS（Common Vulnerability Scoring System）とは、脆弱性の深刻度を評価して数値化したスコアのことです。脆弱性とは、サイバー攻撃者が悪用するセキュリティ上の欠陥のことです。CVSSスコアは脆弱性の評価基準に関するグローバルスタンダードで、特定のシステムベンダーに依存しているわけではありません。さまざまなシステム・ソフトウェアにおける脆弱性の危険度が同じ基準で0.0から10.0で表されるため、セキュリティ対策の優先順位付けに役立ちます。
CVSSスコアはCVEに記載されており誰でも閲覧できます。CVE（Common Vulnerabilities and Exposures）とは、セキュリティ上の欠陥である脆弱性の情報をまとめたデータベースのことです。
なお、CVEの詳細は以下をご覧ください。
⇒CVE（共通脆弱性識別子）とは？メリットや確認・活用方法、活用時のポイントを解説
CVSS v4.0を構成する4つの評価基準
CVSSは以下4つの評価基準で構成されています。
- 基本評価基準（Base Metrics）
- 脅威評価基準（Temporal Metrics）
- 環境評価基準（Environmental Metric）
- 補助評価基準（Supplemental Metrics）
ここからは、最新版であるCVSS v4.0を構成する上記4つの評価基準について解説します。
基本評価基準（Base Metrics）
基本評価基準（Base Metrics）とは、脆弱性そのものにフォーカスをあて評価する基準のことです。例えば、以下の項目により評価を実施します。
- 攻撃元区分
- 攻撃条件の複雑さ
- 攻撃の実行条件
- 必要な特権やユーザ関与レベル
- 機密性や完全性、可用性への影響
上記の項目を活用して、脆弱性を悪用する難易度や悪用された場合の影響度合いを評価します。
脅威評価基準（Temporal Metrics）
脅威評価基準（Temporal Metrics）とは、脅威の動向にフォーカスをあて評価する基準のことです。以前は「現状評価基準」という名称でしたが、v4.0から脅威評価基準に変更されました。基本評価基準と異なり、評価項目は攻撃される可能性の一つのみです。
エクスプロイトコードや攻撃事例を基に評価します。エクスプロイトコードとは、脆弱性を攻撃する目的で作成された簡易なプログラムのことです。サイバー攻撃は日々生み出されているため、脅威評価基準の評価結果も変動します。
環境評価基準（Environmental Metric Group）
環境評価基準（Environmental Metric Group）とは、システムの稼働環境にフォーカスをあて評価する基準のことです。具体的には、以下の項目により評価を実施します。
- 二次的被害の可能性
- 影響を受ける対象システムの範囲
- 対象システムのセキュリティ要求度
システムの稼働環境が対象となるため、企業や組織ごとに評価を行います。
補助評価基準（Supplemental Metrics）
補助評価基準（Supplemental Metrics）とは、脆弱性への対応度合にフォーカスをあて評価する基準のことです。具体的には、以下の項目により評価を実施します。
- 自動化可能性
- 回復可能性
- 安全性
- 価値密度
- 対応の困難度
- 供給者による緊急度
あくまで補助項目であるため、CVSSスコアの計算では用いません。
CVSS v3.0の課題とv4.0の変更点
2025年4月時点のCVSSにおける最新バージョンは4.0です。前身のv3.0に課題があり、2023年11月にv4.0がリリースされました。ここからは、以下について解説します。
- CVSS v3.0の課題
- CVSS v4.0の変更点
CVSS v3.0の課題
CVSSの歴史は古く、v1.0が発表されたのは2005年のことです。そこから改正が行われ、2015年にはv3.0が、2019年にはスコアリング基準や計算方法が改善されたv3.1がリリースされました。ただ、改正されたv3.1にも以下の課題があり、環境にそぐわないものとなりました。
- スコアの算出方法が複雑で直感的ではない
- 現状評価基準が最終的なCVSSスコアに効果的な影響を及ぼさない
- 現状・環境スコアがあまり活用されておらず、CVSS基本スコアがリスク分析の優先的なインプットに使われている
- ITシステムのみ対象となっている
- 健康や人身の安全性、産業用制御システムが十分に表現されない
- ベンダーが公開するスコアのほとんどが「高」もしくは「重大」となる
- リアルタイムでの脅威と補足的な影響が十分に表現されていない
- 粒度が粗い
CVSS v4.0の変更点
CVSS v3.1も現代環境に合わなくなったため、2023年11月にv4.0がリリースされました。v3.1からv4.0への主な変更点は以下の通りです。
- 基本評価基準をより細かな粒度へ
- 下流のスコア付けにおける曖昧さの除去
- 脅威指標を簡素化してスコアリングへの影響を向上
- 補助評価基準の追加
- OTやICS、IoTにも適用
基本評価基準の項目と変更点
基本評価基準は、大きく攻撃の難易度と攻撃時による影響で構成されています。具体的な項目は以下の通りです。
- 攻撃元区分
- 攻撃条件の複雑さ
- 攻撃の実行条件
- 必要な特権レベル
- ユーザ関与レベル
- 機密性への影響
- 完全性への影響
- 可用性への影響
- 後続システムの機密性への影響
- 後続システムの完全性への影響
- 後続システムへの可用性への影響
ここからは、上記それぞれの項目について解説します。なお、v3.1に存在したスコープの項目は廃止となり、後継システムにおける機密性・完全性・可用性を評価する項目が追加されました。
攻撃元区分
どこから攻撃が可能であるかを評価する項目です。具体的な値は以下の通りです。
| 値 | 概要 |
|---|---|
| ローカル | 物理的なアクセスやローカル環境からの攻撃が必要 |
| 隣接 | 隣接するネットワークからの攻撃が必要 |
| ネットワーク | リモートでネットワーク経由の攻撃が可能 |
攻撃条件の複雑さ
攻撃を行う際に必要な条件の複雑性を評価する項目です。具体的な値は以下の通りです。
| 値 | 概要 |
|---|---|
| 低 | 特別な条件は必要なく、いつでも攻撃可能 |
| 中 | 攻撃にあたり情報収集が必要で、特定のシステムやユーザのみ攻撃可能、もしくは標準以外の設定でなければ攻撃できない |
| 高 | 攻撃にあたり権限昇格や偽装などによる情報収集が必要で、特定の設定になっている場合のみ攻撃可能 |
攻撃の実行条件
v4.0より新たに加えられた項目で、攻撃者が攻撃を仕掛ける上で解決すべき前提条件の有無を評価するものです。具体的な値は以下の通りです。
| 値 | 概要 |
|---|---|
| なし | ほとんどのケースで攻撃を成功可能 |
| 存在する | 攻撃の成否はシステムの配置や実行条件に依存 |
必要な特権レベル
攻撃の実施に必要な特権のレベルを評価する項目です。具体的な値は以下の通りです。
| 値 | 概要 |
|---|---|
| なし | 特別な権限を有する必要はない |
| 低 | 基本的な権限が必要 |
| 高 | 秘密情報へのアクセス権限や、管理者に相当する権限が必要 |
ユーザ関与レベル
v4.0より新たに加えられた項目で、攻撃を成立させる上でユーザーの関与が必要か否かを評価するものです。具体的な値は以下の通りです。
| 値 | 概要 |
|---|---|
| なし | ユーザーによる操作を必要とせずに、攻撃を成立させることが可能 |
| パッシブ | セキュリティ機能の積極的な無効化は含まないものの、ユーザーによる限定的な関与が必要 |
| アクティブ | ユーザーの意図的な操作やセキュリティ機能を阻害する操作が必要 |
機密性への影響
脆弱性を攻撃された対象システムにおける機密性を評価する項目です。情報セキュリティにおける機密性とは、許可された者のみが特定の情報にアクセスできる状態のことを指します。具体的な値は以下の通りです。
| 値 | 概要 |
|---|---|
| なし | 機密性に対する影響はない |
| 低 | 攻撃者による一部の機密情報や重要なファイルへのアクセスが可能 |
| 高 | 全ての機密情報や重要なシステムファイルへのアクセスが可能 |
完全性への影響
脆弱性を攻撃された対象システムにおける完全性を評価する項目です。情報セキュリティにおける完全性とは、情報が正確かつ完全な状態を維持しており、不正な変更や破壊から保護されていることを指します。 具体的な値は以下の通りです。
| 値 | 概要 |
|---|---|
| なし | 完全性に対する影響はない |
| 低 | 攻撃者による一部の情報やシステムファイルの改ざんが可能 |
| 高 | 情報やシステム全体の改ざんが可能 |
可用性への影響
脆弱性を攻撃された対象システムにおける可用性を評価する項目です。情報セキュリティにおける可用性とは、システムやサービスが常に利用可能であることを指します。具体的な値は以下の通りです。
| 値 | 概要 |
|---|---|
| なし | 可用性に対する影響はない |
| 低 | 攻撃者による一部リソースの枯渇や業務の遅延・一時中断が可能 |
| 高 | リソースの完全な枯渇やシステムの停止が可能 |
後続システムの機密性への影響
攻撃が成立した場合、その影響が後続システムの機密性に作用するかを評価する項目です。具体的な値は以下の通りです。
| 値 | 概要 |
|---|---|
| 低 | 後続システムの機密性は損なわれない |
| 中 | 後続システムの機密性が損なわれるものの、攻撃者は窃盗する情報のコントロールができない、もしくは漏洩情報における量や種類が制限される |
| 高 | 後続システムの全リソースが攻撃者に漏洩するか、直接的に深刻な影響を与える情報が漏洩する |
後続システムの完全性への影響
攻撃が成立した場合、その影響が後続システムの完全性に作用するかを評価する項目です。具体的な値は以下の通りです。
| 値 | 概要 |
|---|---|
| 低 | 後続システムの完全性は損なわれない |
| 中 | 後続システムのデータの変更はできるが、攻撃者は変更結果をコントロールできない、もしくは変更量が限定的 |
| 高 | 後続システムの完全性が全て失われる、もしくは保護が完全に失われる |
後続システムへの可用性への影響
攻撃が成立した場合、その影響が後続システムの可用性に作用するかを評価する項目です。具体的な値は以下の通りです。
| 値 | 概要 |
|---|---|
| 低 | 後続システムの可用性は損なわれない |
| 中 | パフォーマンスの低下や利用の中断が起こるものの、攻撃者によるユーザーへの完全なサービス停止は不可能 |
| 高 | 攻撃者は後続システムにおけるリソースへのアクセスを完全に拒否でき、直接的で深刻な損失をもたらす |
脅威評価基準の項目と変更点
脅威評価基準はもともと現状評価基準という名称でしたが、v4.0のリリースにともない変更されました。また、v3.1では以下3つの項目が存在しましたが、v4.0では攻撃される可能性のみになっています。
- 攻撃される可能性
- 利用可能な対策のレベル
- 脆弱性情報の信頼性
攻撃される可能性は、攻撃コード・攻撃手法が実際に利用可能であるかを評価する項目です。具体的な値は以下の通りです。
| 値 | 概要 |
|---|---|
| 未評価 | 利用されない、もしくは判定できない |
| 未報告 | 攻撃の概念実証や悪用された報告、そのためのツールに関する情報はない |
| 概念実証 | 脆弱性を悪用する概念実証は公開されているが、実際に悪用された報告はなく、悪用するためのツールも確認されていない |
| 攻撃確認 | 攻撃試行や成功が報告されている、もしくは脆弱性を悪用するためのツール・手法が公開されている |
環境評価基準の項目
環境評価基準はバージョン更新にともなう大きな変更はなく、以下の3項目で構成されています。
- 二次的被害の可能性
- 影響を受ける対象システムの範囲
- 対象システムのセキュリティ要求度
順に解説します。
二次的被害の可能性
脆弱性を攻撃された場合、物理的な機器への被害や生活基盤、身体など二次的な被害が発生する可能性を評価する項目です。具体的な値は以下の通りです。
| 値 | 概要 |
|---|---|
| 未評価 | 未評価 |
| なし | 二次被害は発生しない |
| 軽微 | 軽微な二次被害が発生する可能性がある |
| 中程度 | 中程度の二次被害が発生する可能性がある |
| 重大 | 重大な二次被害が発生する可能性がある |
| 壊滅的 | 壊滅的な二次被害が発生する可能性がある |
影響を受ける対象システムの範囲
自社の環境において、脆弱性を悪用される可能性があるシステムの利用範囲を評価する項目です。具体的な値は以下の通りです。
| 値 | 概要 |
|---|---|
| 未評価 | 未評価 |
| なし | 対象システムが存在しない、もしくは隔離されており利用環境への影響がない |
| 小規模 | 利用環境における1％から25％の範囲にリスクがある |
| 中規模 | 利用環境における26％から75％の範囲にリスクがある |
| 大規模 | 利用環境における76％から100％の範囲にリスクがある |
対象システムのセキュリティ要求度
システムが必要なセキュリティ特性を、機密性・完全性・可用性ごとに評価する項目です。具体的な値は以下の通りです。
| 値 | 概要 |
|---|---|
| 未評価 | 未評価 |
| 低 | 項目が失われても、影響は一部に留まる |
| 中 | 項目が失われた場合、深刻な影響がある |
| 高 | 項目が失われた場合、壊滅的な影響がある |
補助評価基準の項目
続いて、新たに追加された補助評価基準における以下の項目について解説します。
- 安全性
- 自動化可能性
- 供給者による緊急度
- 回復可能性
- 価値密度
- 対応の困難度
安全性
システムに安全性へ適合する利用目的がある場合、攻撃による安全性への影響をIEC 61508のカテゴリーに基づき評価する項目です。具体的な値は以下の通りです。
| 値 | 概要 |
|---|---|
| 未評価 | 未評価 |
| 無視できる | Negligibileに該当する |
| 存在する | IEC 61508の「Marginal・Critical・Castrophic」のいずれかに該当する |
なお、IEC 61508のカテゴリーは以下に分類されています。
- Catastrophic：複数の人命の損失
- Critical：1人の人命損失
- Marginal：1人以上の重大な負傷
- Negligible：最悪でも軽傷
自動化可能性
サイバーキルチェーンにおける一連の攻撃を、自動化可能か否かを評価する項目です。サイバーキルチェーンとは、サイバー攻撃における一連のプロセスを以下の段階ごとにモデル化したもののことです。
- 偵察
- 武器化
- デリバリー
- エクスプロイト
- インストール
- 遠隔操作
- 目的の実行
具体的な値は以下の通りです。
| 値 | 概要 |
|---|---|
| 未評価 | 未評価 |
| いいえ | 一連のプロセスを自動化できない |
| はい | 一連のプロセスを自動化できる |
供給者による緊急度
エンドユーザーにもっとも近い供給者による緊急度を評価する項目です。具体的な値は以下の通りです。
| 値 | 概要 |
|---|---|
| 未評価 | 未評価 |
| なし | 緊急性がない |
| グリーン | 緊急性は低い |
| アンバー | 中程度の緊急性あり |
| レッド | 緊急性がもっとも高い |
回復可能性
攻撃を受けた後の回復力をパフォーマンスと可能性で評価する項目です。具体的な値は以下の通りです。
| 値 | 概要 |
|---|---|
| 未評価 | 未評価 |
| 自動 | 自動的に回復する |
| ユーザー | 回復にユーザーの操作が必要 |
| 回復不能 | 回復できない |
価値密度
サイバー攻撃により、攻撃者が得られるリソースの密度を評価する項目です。具体的な値は以下の通りです。
| 値 | 概要 |
|---|---|
| 未評価 | 未評価 |
| 拡散 | システムが有するリソースは限定的 |
| 濃縮 | システムが有するリソースは豊富 |
対応の困難度
ユーザーが自社で運用しているシステムの、脆弱性に対応する際に必要な労力を評価する項目です。具体的な値は以下の通りです。
| 値 | 概要 |
|---|---|
| 未評価 | 未評価 |
| 低 | 少ない労力で対応可能 |
| 中 | エンドユーザーに代わり、サービス提供者の対応が必要 |
| 高 | 対応は重大かつ困難で、リモートでの対応はできない |
スコアリングの種類
CVSSスコアを計算する方法には以下の4種類が存在します。
| 種類 | 計算方法 |
|---|---|
| CVSS-B | 基本評価基準 |
| CVSS-BT | 基本評価基準×脅威評価基準 |
| CVSS-BE | 基本評価基準×環境評価基準 |
| CVSS-BTE | 基本評価基準×脅威評価基準×環境評価基準 |
上記の結果は、0.0から10.0の数値で算出・評価されます。数値が大きくなるほど危険度が高く、早期の対応が必要です。また、以下の通り数値による危険レベルが5段階に設定されています。
| スコア | 危険度 |
|---|---|
| 0.0 | なし（None） |
| 0.1〜3.9 | 注意（Attention） |
| 4.0〜6.9 | 警告（Warning） |
| 7.0〜8.9 | 重要（Important） |
| 9.0〜10.0 | 緊急（Critical） |
CVSSスコアの活用方法
CVSSスコアは、自社の脆弱性における深刻度の把握と対策の優先順位付けに活用できます。全てのシステムやツールには必ず脆弱性が存在するといわれており、サイバー攻撃を受けるリスクがあります。ただ、脆弱性へのパッチ適用など対策を行うには、手間とコストがかかり全てを一度に行うことは困難です。
リソースが限られている企業や組織は、適切な優先順位付けを行い効果的にセキュリティ対策を実施することが重要です。CVSSスコアの活用で自社における脆弱性そのものとその深刻度を把握でき、どれから対策を行えば良いかの判断に役立つでしょう。
まとめ
CVSSとは、システムやソフトウェアに存在する脆弱性の深刻度を評価して数値化したスコアのことです。基本評価基準・脅威評価基準・環境評価基準・補助評価基準の4つで構成されており、算出される深刻度は0.0から10.0で表されます。CVSSスコアを上手く活用すれば、自社の脆弱性における深刻度の把握と対策の優先順位付けを行えるでしょう。
近年は、サイバー攻撃が増加するとともにプライバシー保護に関する関心が高まっています。万が一、情報漏洩が発生すれば企業の信用やブランドイメージが低下するでしょう。サイバー攻撃を未然に防ぐ対策が欠かせません。
ただ、サイバー攻撃は日々進化しており完全に防ぐことは困難です。情報漏洩が起こった際に、素早く察知して適切な対応を取り被害を最小限に抑える体制構築も重要です。情情報漏洩監視ツール「ダークウェブアイ」は、会社のドメイン情報を入れるだけで「いつ」「どこから」「どんな情報が」漏れてしまったのか、一瞬で分かります。
自社情報が漏洩していないか不安な方は、まずは自社の漏洩状況を確認してみてはいかがでしょうか？
⇒メールアドレスを入れるだけ！自社の漏洩状況をチェック！
