令和7年度 問6｜セキュア開発・IoT・脆弱性評価（CVSS・CVE・診断）

正解：ア 攻撃コードの出現の有無，利用可能な対策のレベルなどに応じ，評価結果は時間の経過で変化する。

ポイント

CVSS の現状評価基準の特徴を選ぶ問題です。

考え方と解き方

CVSS は、基本、現状、環境の3つの基準です。評価が変わるかどうかと、だれの環境を含めるかで区別します。現状は、攻撃の状況と対策のレベルで、時間とともに変わります。

1. 現状評価基準は、攻撃コードの出現の有無や、利用可能な対策のレベルなどを評価に入れます。そのため、評価結果は時間の経過で変化します。
2. したがって、最も適切なのは ア です。

ほかの選択肢

• イ 製品利用者ごとに評価結果が異なるのは、利用者の環境を含める環境評価基準の特徴です。
• ウ 利用者が対応を決めるための評価に使うのは環境評価基準です。時間の経過で変化しないのは基本評価基準の特徴で、現状評価基準の説明には合いません。
• エ 利用環境にも時間にもよらず一定なのは、脆弱性そのものの特性を評価する基本評価基準の特徴です。

覚えておくこと

• CVSS v3.1 基本評価基準：脆弱性そのものの特性。時間や利用環境で変わらない
• CVSS v3.1 現状評価基準：攻撃の可能性や対策の有無で、時間とともに変わる
• CVSS v3.1 環境評価基準：利用者の環境を含める。利用者が対応を決めるのに使う

（テーマ・覚えること）