SSVCとは？CVSSの課題やSSVCの評価方法、活用の流れを解説

サイバー攻撃が高度化するなか、脆弱性への対応判断はスピードと的確さが求められます。脆弱性の判断に用いられてきた従来のCVSS（共通脆弱性評価システム）はスコア偏重で実運用との乖離が指摘されてきました。これに対し、SSVC（Stakeholder-Specific Vulnerability Categorization）は、利害関係者の視点と状況に応じた意思決定を支援する新たな評価手法として注目されています。本記事では、CVSSの課題やSSVCの評価フレームワーク、実際の活用手順までわかりやすく解説します。

SSVCとは

SSVCは、脆弱性に対する対応の優先順位を、組織の立場や状況に応じて柔軟かつ合理的に判断するためのフレームワークです。米国のCERT/CC（Computer Emergency Response Team Coordination Center）によって提唱され、主に「業務への影響」「攻撃の公表状況」「悪用の可能性」「ミッションクリティカル性」など複数の評価軸を基に、意思決定ツリーを使って対応方針を導き出します。

従来は、脆弱性の深刻度を数値で一律に評価するCVSSが主流でしたが、SSVCは「誰にとって」「どのような脅威か」を重視し、より実務的な判断を可能にします。ここでは、比較となるCVSSの概要と課題について解説します。

CVSSの概要

CVSSは、ソフトウェアやシステムに存在する脆弱性の深刻度を、定量的に評価するための共通基準です。CVSSは脆弱性の深刻度をスコア（0.0〜10.0）で数値化し、「どの脆弱性にどの程度優先的に対応すべきか」を判断する指標として広く用いられてきました。スコアは主に以下3つのメトリクス（評価軸）から構成されます。

• ベーススコア：脆弱性そのものの深刻度
• テンポラスコア：時間によって変化する要素
• 環境スコア：利用環境における重要性

例えば、攻撃が容易で機密性に大きな影響を与える脆弱性は「9.8」や「10.0」といった高スコアとなり、緊急度の高い対応が求められます。ただ、このCVSSにはいくつかの運用上の課題が存在し、より柔軟で実践的な判断が可能な手法としてSSVCのようなフレームワークが注目を集めるようになりました。次項以降でCVSSの課題について解説します。

CVSSの課題

CVSSの課題は主に以下の3点です。

• 対策や方針が示されていない
• 適切な評価ができていない
• スコアとリスクが比例しない

ここでは、上記の課題について解説します。

対策や方針が示されていない

CVSSには「脆弱性の重大度を数値化する」という強みがある一方で、対応すべき「具体的なアクション」や「優先順位の判断方針」までを明確には示さない欠点があります。CVSSのスコアはあくまで技術的な深刻度を示すものであり、運用上の優先順位やビジネスへの影響度までは考慮されていません。そのため、企業や組織が脆弱性にどう対応するかは、スコアを見た上で個別に判断する必要があります。

適切な評価ができていない

CVSSは脆弱性の深刻度を数値で表すことで広く活用されている評価基準ですが、現場での実運用においては「適切な評価ができていない」のが実情です。CVSSの各評価指標には主観的な要素が含まれており、担当者の経験や知識、文脈の理解度によってスコアにばらつきが生じてしまいます。また、CVSSスコアは多くの脆弱性が「高〜クリティカル（7.0以上）」に集中する傾向があり、優先順位付けが形骸化しやすい問題もあります。

スコアとリスクが比例しない

スコアとリスクが比例しない問題は、CVSSが現場で抱えるもっとも本質的な課題の一つです。CVSSのスコアは、特定の環境や運用状況での実際のリスクを反映する仕組みにはなっていません。そのため、脆弱性管理では「スコアを見る」だけでなく、「その脆弱性が自社環境でどれだけ悪用されやすいか・業務にダメージを与えるか」を併せて評価するリスクベースの判断が不可欠となっています。

SSVCのメリット

SSVCのメリットは主に以下の3つです。

• ステークホルダーごとに評価できる
• 迅速に判断できる
• 柔軟性が高くカスタマイズできる

ここでは、上記のメリットについて解説します。

ステークホルダーごとに評価できる

SSVCが持つ大きな強みの一つが、「ステークホルダーごとの視点を反映しながら評価できる」点です。SSVCではベンダー（パッチ提供者）、ユーザー企業（パッチ適用者）、調整機関（コーディネーター）など、立場ごとに個別の「決定木（decision tree）」を設けており、役割に応じたリスク評価と対応方針の決定が可能となっています。例えば、ソフトウェアベンダーは「修正プログラムの提供タイミング」を、運用者は「自社環境における優先順位付け」を、調整者は「公表の是非や時期」を、それぞれの視点から判断できます。

迅速に判断できる

SSVCでは、意思決定ツリーにより脆弱性対応における判断を迅速に下せます。例えば、「悪用の有無」「公開状況」「業務への影響度」などの要素を順番に確認すると、最終的に「Track」「Attend」「Act」などの具体的なアクションを即座に決定できます。限られた時間とリソースで「どの脆弱性を優先して対応すべきか」を即座に判断できる点が、CVSSと比較して優れているポイントの一つです。

柔軟性が高くカスタマイズできる

SSVCは標準モデルだけに縛られず、組織固有の事情・優先順位を反映した形で意思決定モデルを構築できる柔軟性を備えています。SSVCは決定木を構成する複数の判断ポイントとその結果が、ブロックのように組み立て可能な構造で設計されており、組織ごとのリスク許容度や運用スタイルに応じて自由に調整可能です。例えば、標準モデルにない判断軸を自社要件として追加したり、意思決定の流れを枝ごとに調整したりできます。

SSVCの構成要素や評価方法

SSVCの評価構造は、まず評価対象となるステークホルダーを明確にし、それぞれの立場に応じた判断モデルを設定した後、決定木に沿って脆弱性の性質や状況を評価し、最終的に取るべきアクションを導き出すのがおもな内容です。
ここでは、SSVCにおける3種類のステークホルダーと、それぞれがどのような観点で脆弱性を評価するのかを解説します。

3種類のステークホルダー

SSVCでは、脆弱性対応の意思決定を「誰の視点で判断するか」によって区別する設計になっています。SSVCが定義する代表的なステークホルダーは以下の通りです。

• サプライヤー：ソフトウェア・ハードウェアの開発ベンダーや、ライブラリ・モジュールを提供する側の組織
• デプロイヤー：実際に脆弱性を抱えるシステムを運用し、パッチ適用や修正を行う立場の組織
• コーディネーター：サプライヤーおよびデプロイヤーの間を橋渡しし、情報伝達や優先調整、公開判断などを担う中立的な役割

上記のステークホルダーそれぞれに対して、独自の決定木が設計されており、同一の脆弱性でも誰が判断するかによって優先度や対応方針が変わるようになっています。本記事では、システム利用者としての立場となるデプロイヤーに焦点を当てて次項以降で分岐条件を解説します。

決定木における4つの分岐条件

デプロイヤーの決定木における4つの分岐条件は以下の通りです。

• Exploitation（悪用状況）
• Exposure（露出度）
• Utility（攻撃価値）
• Human Impact（人への影響）

ここでは、上記の分岐条件について解説します。

Exploitation

Exploitationは、対象となる脆弱性が「すでに悪用されているのか」「今後悪用される可能性があるのか」という観点から、対応の緊急度を判断するための重要な要素です。脆弱性の理論的な危険性ではなく実際の脅威状況を可視化するものであるため、他の分岐条件と組み合わせることで、より現実的なリスク評価を実現できます。

Exposure

Exposureは、脆弱性を抱えるシステムやコンポーネントが「外部からアクセス可能な状態かどうか、またその程度はどれほどか」を評価する要素です。Exploitationで脆弱性の「攻撃可能性」を判断した上で、Exposureによって「どれだけ攻撃者に近い位置にあるか」を見極めて、対応優先度のフィルタリング精度を高めます。このExposureの評価結果と、他の分岐条件を組み合わせて、SSVCでは最終的な優先度を導き出します。

Utility

Utilityとは、脆弱性を悪用した際に攻撃者が得られるメリットの大きさを評価するための判断軸です。単に攻撃が可能かどうかではなく、「攻撃を行う価値がどれほどあるのか」を見極めることで、より実践的なリスク評価を可能にします。Utilityは、他の要素と組み合わせると、脆弱性対応の優先順位をより正確に導けます。

Human Impact

Human Impactは、脆弱性が悪用された際に、安全性・業務遂行・ミッションへの影響など人や組織に直接及ぶ被害の度合いを評価する指標です。Human Impactを導入すれば、SSVCでは単に技術的リスクだけでなく、人的・社会的なリスクを可視化した現実的な意思決定が可能になります。Human Impactは、他の3要素と組み合わせることで、脆弱性対応の緊急度や優先度をより精密に導くための最後の判断軸となります。

4つの優先順位

SSVCでは、4つの分岐条件で評価した後は、最終的に以下の4つの優先順位（意思決定アクション）のいずれかを割り当てます。

• Defer（延期）：現時点では対応を保留し、標準更新サイクル(定期メンテナンス時)に持ち越す
• Scheduled（定期対応）：通常の保守スケジュール内で対応する
• Out-of-cycle（異常対応）：定例のスケジュールを越えて、比較的早めに修正や緩和策を適用
• Immediate（即時対応）：利用可能なすべてのリソースを動員して、可能な限り早急に対処し、必要なら業務停止なども検討対象となる

上記のSSVCにおける「4つの優先順位」は、単なる「高・中・低」の分類を超えて、脆弱性の文脈に応じた対応方針を示すガイダンスとなります。4つの優先順位が明確な内容であるために、脆弱性管理担当者は意思決定のぶれを抑えつつ、現実的な対応スケジュールを設定できます。

SSVCを活用する流れ

SSVCは、以下のフローで活用するのが一般的です。

• 1.情報を集める
• 2.意思決定ツリーで分析する
• 3.対応方法を決めて実行する

1.情報を集める

SSVCを活用するためには、まず脆弱性を診断するのに必要な情報を集める必要があります。適切な判断を導くためには、脆弱性そのものに関する技術情報だけでなく、運用環境や利用システムに関する環境情報も含めて多面的にデータを揃える必要があります。特に、SSVCを実務で運用する際には「脆弱性そのものの情報」と「それが存在するシステム環境の情報」の両方を最低限取得しなければならない点には注意が必要です。

2.意思決定ツリーで分析する

SSVCの中核となるプロセスが、意思決定ツリー（決定木）を用いた分析です。収集した脆弱性情報やシステム環境データをもとに、定義された判断基準に従って分岐を進め、最終的な対応方針を導き出します。

3.対応方法を決めて実行する

意思決定ツリーで分析を経て、最終的な対応方法を導き出します。各ステークホルダーで名称は異なりますが、例えばデプロイヤーであれば前述した4つの優先順位に基づいて判断し実行することとなります。

SSVCを用いる際の課題

SSVCを用いる際の課題は主に以下の3つです。

• 専門的な人材が求められる
• 人により評価が異なる
• 手間がかかる

ここでは、上記の課題について解説します。

専門的な人材が求められる

SSVCは、複数の判断軸を組み合わせた意思決定ツリーを用い、脆弱性対応の優先順位を導き出す高度なフレームワークであるため、運用には高度な専門知識と経験を持つ人材が不可欠となります。SSVCを効果的に運用するには、脆弱性情報や攻撃インテリジェンス、システム構成、業務影響度など多岐にわたる情報を正しく解釈し、それを分岐条件に対して適切に評価できる能力が求められ、セキュリティと業務を横断的に判断できる視点が必要です。また、SSVCを導入する際には、組織内で複数部門（運用・開発・業務）との調整も必要となるため、技術知識以外にコミュニケーション能力・調整力も求められます。

人により評価が異なる

SSVCは、複数の判断軸を使って脆弱性の対応優先度を決定する高度な枠組みですが、評価者によって判断が異なる点が課題です。SSVCの判断プロセスでは、意思決定ツリーをもとに評価しますが、その場合評価者が持つ知識・経験・解釈の違いに依存する部分が大きいため、同じ脆弱性に対して異なる評価が出る可能性があります。そのため、評価者が異なっても統一性が出る運用方針の作成が必要となります。

手間がかかる

SSVCは、特に導入初期～運用定着フェーズにおいて、多大な手間と負荷が伴う課題があります。まず、SSVCの判断要素を評価するためには、脆弱性技術情報、攻撃インテリジェンス、ネットワーク構成・露出状況、業務影響度、リスク許容度など、多様なデータソースの統合・前処理が欠かせません。また、SSVCを実際に判断するフェーズでは、セキュリティ担当者と運用者双方の知識を使って丁寧な評価が必要です。

そこでおすすめなのが、SSVCの運用の手間を軽減し、SSVCのフレームワークを実運用に簡単に落とし込める脆弱性可視化サービスの「ダークウェブアイ ASM」です。ダークウェブ ASMについては次項にて詳しく紹介します。

ダークウェブアイ ASMの特徴

ダークウェブアイ ASMは、弊社SMSデータテックが提供するアタックサーフェスを可視化するセキュリティ支援サービスです。企業の外部に露出しているIPアドレスやドメイン、サーバー、クラウドリソースなどを攻撃者視点で自動的に検出・分析し、リスクの所在をわかりやすく表示します。また、ダークウェブアイ ASMでは、発見した脆弱性を「緊急/高/中/低」の4段階で分類し、リスクの深刻度に応じて優先的に対処すべき項目を明確にします。さらに、ダッシュボード上では、危険度の高い資産が直感的に確認でき、セキュリティ担当者がすぐに対応方針を立てられるようになっているのも特長的です。

ダークウェブアイ ASMを導入すれば、自社の攻撃対象領域を正確に把握し、限られた人員でも効率的に脆弱性管理を進める体制を構築できます。ご興味のある方はぜひ以下のリンクからお問い合わせください。

SSVC・CVSS以外の脆弱性を評価する指標

SSVC・CVSS以外の脆弱性を評価する指標で代表的なものは主に以下の2つです。

• KEV
• EPSS

ここでは、上記の指標について解説します。

KEV

KEV（Known Exploited Vulnerabilities catalog）は、アメリカのCISAが公開している実際に攻撃者によって悪用されたことが確認された脆弱性をまとめた公式カタログです。数多くの脆弱性情報のなかから、すでにサイバー攻撃に利用されたものだけを抽出しており、企業や組織が「どの脆弱性から優先的に対処すべきか」を判断する上で重要な指標となっています。

EPSS

EPSS（Exploit Prediction Scoring System）は、脆弱性が公表された後、近い将来に実際に悪用される可能性をデータ駆動型で推定する指標です。EPSSは、FIRST（Forum of Incident Response and Security Teams）が主導するオープンなプロジェクトであり、脆弱性データや実際の攻撃イベントを統計モデルで学習し、毎日更新される確率スコアを提供しています。脆弱性の可能性を可視化する指標として、CVSSやSSVCと並び評価モデルの一翼を担いつつ、実際の脅威に即した判断ができる点で優れています。

まとめ

脆弱性管理においては、CVSSのような深刻度スコアだけでなく、SSVCによる意思決定ツリー、KEVによる実際の悪用情報、EPSSによる悪用予測スコアなど、複数の観点から何を優先するかを管理付けた上で脆弱性を評価する時代へと変化しています。しかし、実際の現場では、膨大なシステム資産・クラウド環境・サブドメインなどが散在しており、「そもそも何が外部に露出しているのか」を把握できていないケースも少なくありません。そこでおすすめなのが、弊社SMSデータテックが提供する「ダークウェブアイ ASM」です。

「ダークウェブアイ/ASM」は、企業の外部公開資産を攻撃者の視点から自動的に洗い出し、脆弱性を可視化できるツールです。IPアドレス・ドメイン・サーバー構成・SSL証明書など、あらゆる外部要素をスキャンし、「どこが狙われやすいのか」「どの資産を優先的に守るべきか」を一目で確認できます。