CVSS v4.0とは？v3.1との違いや主な変更点、活用における課題と解決策を解説

脆弱性評価の国際標準「CVSS（Common Vulnerability Scoring System：共通脆弱性評価システム）」が、2023年にv4.0へと進化しました。このバージョンアップにより、従来のv3.1では捉えきれなかった脅威の深刻度や緊急性を、より現実的かつ柔軟に評価できるようになりました。
しかし、評価指標の追加やスコアリングロジックの変更により、「何が変わったのか」「自社の脆弱性管理にどの程度影響があるのか」を判断しづらいと感じている担当者の方も多いのではないでしょうか。

本記事では、CVSS v4.0の概要とv3.1からの主な変更点をわかりやすく整理するとともに、実務運用にどのような影響があるのか、対応判断のポイントまでわかりやすく解説します。

CVSSとは

CVSSは、ソフトウェアやシステムに存在する脆弱性の深刻度を定量的に評価し、共通の指標として数値化するための国際的な標準フレームワークです。米国の非営利団体であるFIRST（Forum of Incident Response and Security Teams）により策定されており、セキュリティベンダーや開発企業、官公庁などが共通の尺度で脆弱性リスクを判断する際に広く活用されています。

CVSSでは脆弱性のリスクを10点満点のスコアで表し、対応優先度の判断や社内のリスク管理方針に活用できます。

CVSSを構成する3つの基準

CVSSを構成する3つの基準は以下の通りです。

• 基本評価基準（Base Metrics）
• 現状評価基準（Temporal Metrics）
• 環境評価基準（Environmental Metrics）

ここでは、上記の基準について解説します。

基本評価基準（Base Metrics）

脆弱性そのものが持つ性質を評価する項目です。機密性・完全性・可用性への影響を、時間や環境に左右されない共通の尺度で評価します。

現状評価基準（Temporal Metrics）

基本評価基準のスコアに対し、時間の経過や外部環境の変化を反映するための指標です。攻撃状況や対策の進捗に応じてスコアを補正し、実務における優先順位付けに活用できます。

CVSS v3.1では、以下の3つの指標が現状評価基準として定義されていました。

• Exploit Code Maturity (E)：脆弱性を悪用するためのコード（エクスプロイト）がどの程度流通しているかを評価
• Remediation Level (RL)：ベンダーが提供する修正パッチや回避策の有無・内容を評価
• Report Confidence (RC)：脆弱性情報の正確性や信頼性を示す指標

環境評価基準（Environmental Metrics）

組織や利用環境に固有の要因を反映してスコアを調整する指標です。実際のシステム構成や対策状況に応じた評価が可能で、実務レベルでの対策判断に役立てられます。

CVSSスコアの基本的な見方

CVSSスコアは、得点の高さに応じて脆弱性の深刻度を段階的に分類できます。CVSS v4.0においては、以下のような区分が一般的です。

スコア	深刻度	意味
9.0〜10.0	緊急	直ちに対策が必要な深刻な脆弱性
7.0〜8.9	高	優先的に対応すべき重大な脆弱性
4.0〜6.9	中	状況を見ながら対応すべきリスク
0.1〜3.9	低	比較的リスクが低い脆弱性
0.0	なし	現時点で影響がないとされる

上記のスコアを参考にすることで、どの程度の優先度で対処すべきかがわかるようになっています。

CVSS v4.0とは

CVSS v4.0は2023年に正式リリースされた最新バージョンです。従来のv3.1では、基本評価基準のスコアが重視される傾向が強く、実際の攻撃動向や脆弱性の波及範囲・複雑な攻撃パターンへの対応が不十分なため、「スコアと実態が乖離する」という課題が現場から多く指摘されていました。

こうした限界を解消し、急速に進化するサイバー脅威へ対応するためにリリースされたのがv4.0です。スコアリング精度の向上や評価軸の整理に加え、「脅威評価基準（Threat Metrics）」の導入や「攻撃要件（Attack Requirements）」の新設など、評価構造そのものが見直されています。また、これまで任意扱いだった現状評価・環境評価がデフォルトで考慮される前提となり、セキュリティ専門家だけでなく開発者やマネジメント層も含めた全社的なリスク判断がしやすくなっています。

CVSS v3.1とv4.0の違い

CVSS v4.0はv3.1と比べて、実際の脅威状況や運用判断をより意識した評価が可能になった点が最大の違いです。

項目	CVSS v3.1	CVSS v4.0	実務への影響
評価精度	技術的深刻度が中心	実際の悪用可能性や状況をより反映	優先度判断がより現実寄りに
メトリクス構造	Base / Temporal / Environmental	Base / Threat / Environmental / Supplemental	脅威状況をより明確に評価可能
Exploit関連評価	Temporalに含まれる	Threat Metricsとして独立強化	攻撃の現実性を判断しやすい
攻撃条件の表現	やや抽象的	より細分化・明確化	誤判定のリスク低減
環境依存の評価	任意調整が中心	より体系的に整理	組織ごとのリスク評価がしやすい
補足情報	なし	Supplemental Metricsを新設	文脈情報の共有が容易に
スコアリング	単一スコア中心	より多面的な評価思想	スコアの読み解き力が重要に
評価の目的	脆弱性の深刻度提示	意思決定支援をより重視	運用判断との結び付きが強化

v3.1では基本評価基準のスコアが重視される一方、実際のリスクと乖離するケースが課題でした。v4.0ではこの点が改善され、単純なスコア比較だけでなく脅威状況や組織環境を踏まえた、より文脈に即した判断が可能になっています。

それでは、CVSS v4.0では具体的にどのような変更が行われたのか、各評価基準ごとに詳しく見ていきましょう。

CVSS v4.0の主な変更点

CVSS v4.0では、従来の評価構造を維持しつつも、評価精度の向上と運用性を高めるために複数の項目が刷新されています。特に、脆弱性そのものを評価する基本評価基準、攻撃状況を反映する現状（脅威）評価基準、利用環境を考慮する環境評価基準に加え、v4.0では新たに補足評価基準（Supplemental Metrics）が導入されました。また、スコアリングルールそのものも見直され、実運用で使いやすい形に最適化されています。以下では、それぞれの変更点を順に詳しく解説していきます。

基本評価基準の主な変更点

CVSS v4.0では、基本評価基準の評価の粒度が細かくなり、実際の攻撃シナリオをより現実的に反映できる構造へと進化しています。主な変更点は以下の通りです。

• 脆弱性が影響範囲を超えて波及するかを評価する「Scope」が廃止され、影響範囲の評価がより明確になった。
• 攻撃を成立させるために特定の状態や前提条件が必要かどうかを評価するAttack Requirements（AT）が追加
• これまでの「必要・不要」という二択評価では不十分とされていたユーザー関与（User Interaction）を、None/Passive/Activeの3段階に再定義
• Attack Complexity（AC）やPrivileges Required（PR）など既存の指標も、定義が再調整

上記の刷新により、v4.0は「脆弱性の本質をより正確に表現するスコアリング」を実現しています。

現状（脅威）評価基準の主な変更点

v4.0では、従来の現状評価基準が 「脅威評価基準」 に改称され、評価構造そのものも簡素化・見直しが行われました。v3.1で設定されていたExploit Code Maturity (E)、Remediation Level (RL)、Report Confidence (RC)のうちExploit Code Maturity (E)に評価軸が一本化されました。また、名称も攻撃される可能性をより広く捉える指標の意味を含めて「Exploit Maturity」に変更されています。v4.0の脅威評価基準は、冗長な要素を排し、本質的な攻撃可能性に焦点を絞った設計となったため、評価の簡便性と明瞭さが高まりました。

環境評価基準の主な変更点

CVSS v4.0において、環境評価基準は、組織やシステムごとの実情に即した柔軟なスコア補正を実現するために、従来よりも機能強化が図られました。主な変更点は以下の通りです。

• 環境条件を反映して基本評価指標を上書きする「修正済み基本評価メトリクス（Modified Base Metrics）」の適用がより柔軟になった
• Confidentiality（機密性）、Integrity（完全性）、Availability（可用性）の3つのセキュリティ要件に対して、組織としての重視度（高・中・低）を設定できる仕組みを整備
• 人的被害などに関わるリスクを評価する「Safety（安全性）」の要素を新たに追加
• 環境評価の各項目は必須ではなく、定義しない場合でも「Not Defined」として扱われ、デフォルト値に基づいたスコア計算が可能

上記の変更により、CVSS v4.0では「脆弱性の本質的リスク」だけでなく、「実際に脆弱性が存在する組織や環境」に応じた、より現実的で戦略的なスコアリングが可能となりました。

補足評価基準の追加

CVSS v4.0では、新たに「補足評価基準」が導入されました。補足評価基準は、脆弱性の深刻度を評価する上で、スコアには直接影響を与えないものの、リスク判断の補助材料となる文脈的な情報を提供する指標群です。CVSS v4.0で導入された補足評価基準には、以下のような指標が含まれています。

• Safety：脆弱性が人的被害や身体的危険を引き起こす可能性の有無
• Automatable：攻撃の自動化が可能かどうか
• Recovery：脆弱性が悪用された際のシステム復旧の難易度や時間
• Value Density：攻撃対象に含まれる価値の密度
• Vulnerability Response Effort：修正や対応にかかる工数・リソースの規模感
• Provider Urgency：ベンダーや報告元が定義する対応の緊急度や重要性の目安

例えば、Safetyが「あり」でAutomatableも「あり」とされている脆弱性は、自動攻撃によって人命に関わるインシデントが発生する可能性があることを示唆しており、たとえスコアが中程度であっても、早急な対応が必要になるケースもあります。補足評価基準は、CVSSスコアを軸にした脆弱性管理をより実践的・戦略的にするための重要な情報拡張機能といえます。

スコアリングに関する変更点

CVSS v4.0では、スコア計算自体にも複数の改革が加えられ、従来のv3系列と比べてスコア分布の精細化・透明性向上・構成スコア種類の明確化が図られています。特に大きな変更となったのが「スコア構成の命名規則」で、どの評価グループを含めてスコアを算出しているかを明示する以下のような命名体系が導入されました。

• CVSS–B：基本評価（Base）のみ
• CVSS–BT：Base+Threat（脅威評価）
• CVSS–BE：Base+Environmental（環境評価）
• CVSS–BTE：Base+Threat+Environmental

上記の命名規則により、スコアがどのフェーズまでの補正を含んでいるかが一目でわかるようになり、利用者間の解釈ズレが減るよう設計されています。

CVSS v4.0で脆弱性管理はどう変わる？

CVSS v4.0の導入により、脆弱性管理の優先度判断や運用プロセスは、より実態に即した形へと変化します。

主な影響は以下の通りです。

変化のポイント	概要	求められる対応
パッチ適用の優先度判断がより現実寄りに	攻撃の成立可能性や脅威状況をより明確に評価できるため、同程度のスコアでも実運用上のリスク差を踏まえた優先度付けが可能に	リスクベースでの優先度判断プロセスの整備
スコアの”読み解き力”がより重要に	評価軸の拡張により、単一スコアだけでは実態を捉えきれないケースが増加	Threat・Environmental Metricsを含めた総合的な解釈運用への移行
脆弱性管理ツール・運用フローの見直し	v4.0未対応のツールやv3.1前提の優先度ルールを使用している場合、評価ロジックや運用手順にズレが生じる可能性	利用ツールのv4.0対応状況の確認と運用フローの更新・見直し
SOC／CSIRTに求められる分析視点の高度化	より文脈依存の評価が可能になった分、スコアの背景を理解した分析力が重要に	脅威動向との突き合わせや影響度評価・優先度付けロジックの最適化など、運用成熟度の向上

v4.0は評価の精度と柔軟性が向上した一方で、スコアを正しく読み解き運用に活かすための体制整備が、これまで以上に重要になります。

CVSS活用における課題と解決策

CVSSは、脆弱性管理におけるスタンダードな指標として広く活用されていますが、現場での運用にあたってはさまざまな課題が存在します。

CVSS活用における課題と解決策は以下の通りです。

課題	解決策
スコアが現実の脅威や環境を反映しきれない	・環境評価基準を活用し、自社のシステム構成や運用実態に即したスコア補正を行う ・実際の攻撃情報を反映する脅威評価や、EPSS、KEVといった補助的な外部指標と併用する
スコアの読み取りが属人化しやすく、判断にバラつきが出る	・CVSSの評価に基づくアクションガイドラインを明確にし、対応基準を標準化する ・SSVCなどの優先度決定手法を導入し、CVSSに依存しすぎない判断基盤を構築する ・評価者の教育や、クロスレビューによるスコアの妥当性チェックを取り入れる
対応対象が多すぎて、優先順位付けが困難になる	・CVSSスコアだけでなく、資産価値、実際の攻撃有無、業務インパクトなどを含めた「リスクベース」の優先順位付けを実施する ・自動化ツールを活用し、フィルタリング・通知・担当割り当てを効率化する

CVSSは便利な仕組みである一方で、スコアだけを盲信すると誤った判断や過剰対応を招く恐れがあります。
しかしv4.0では、環境・脅威・補足評価などを組み合わせて、より現実的な評価が可能になっています。組織においては、CVSSを参考指標としてうまく活用し、実運用に即した脆弱性管理体制を構築する必要があります。

まとめ

CVSS v4.0は、脆弱性の深刻度をより正確かつ柔軟に評価できるよう進化したスコアリングシステムです。基本評価基準の精緻化に加え、「脅威評価基準」や「環境評価基準」の見直し、新たに追加された「補足評価基準」により、従来のバージョンよりも実運用に即した評価が可能になりました。また、スコアリングの透明性が向上し、CVSS-BやCVSS-BTEといった構成ラベルにより、スコアの意味合いを明確に把握できるようになった点も大きな特長です。

一方で、CVSSはスコアのみで機械的に優先度を判断すると、実際のリスクと乖離する可能性があります。自社環境や攻撃状況を踏まえた補正、リスクベースでの運用判断を組み合わせて活用することが重要です。また、評価作業の属人化や外部スコアのばらつきといった課題に対応するためにも、自社に適した基準やワークフローの整備、評価プロセスの可視化が求められます。
こうしたCVSS運用上の課題解決を支援する手段として有効なのが、最新の脆弱性情報を視覚的に整理し、効率的なリスク把握をサポートするSMSデータテックの「セキュリティNOW!」です。特に、対象製品を自由に登録・管理できる「MY脆弱性」機能を活用することで、自社で利用している製品に関する脆弱性情報をピンポイントで把握でき、対応の優先順位付けをよりスムーズに行えます。

ご興味のある方はぜひ以下のバナーからご覧ください。