令和2年度 プロジェクトマネージャ試験 午前II 問24

正解：イ

AI解説

CVSS(Common Vulnerability Scoring System:共通脆弱性評価システム)は、脆弱性の深刻度を評価するためのオープンで汎用的な評価手法であり、特定ベンダに依存しない共通の評価方法を提供する。基本評価基準・現状評価基準・環境評価基準の三つの基準を用いて深刻度を0〜10.0のスコアで表す。「三つの基準・0〜10.0・ベンダ非依存」が判断基準である。 ア: CVSS v2とv3.0では評価項目や算出方法が異なるため、同じ脆弱性でもバージョンによって異なる値になり得る。 イ: 正しい。オープンで汎用的な評価手法であり、ベンダに依存しない共通の評価方法を提供するというCVSSの特徴そのものである。 ウ: 深刻度は0から10.0の数値で表す。0から100ではない。 エ: 評価基準は基本評価基準・現状評価基準・環境評価基準の三つであり、二つではない。 💡 CVSSは「基本(脆弱性固有の特性)・現状(攻撃コードの有無など時間変化)・環境(利用者環境)」の3基準セットで暗記する。数値の上限10.0もよく問われる。