CVSS v3.1 の評価基準
共通脆弱性評価システム CVSS v3.1 に関する記述として，適切なものはどれか。
- ア基本評価基準は，攻撃元区分や攻撃条件の複雑さなど脆弱性そのものの特性を評価するものであり，時間の経過や利用環境によって変化しない。
- イ現状評価基準は，脆弱性が存在するシステムの利用者組織における重要度や，組織が講じている緩和策を反映して評価する。
- ウ評価結果は 0〜100 の数値で表され，値が大きいほど脆弱性の深刻度が高い。
- エ環境評価基準は，製品の開発者が修正プログラムの提供状況や攻撃コードの出現状況を反映して評価する。
正解と解説を見る
正解 ア
この問題の基礎知識
- CVSS は脆弱性の深刻度を製品ベンダに依存しない共通の基準で評価する手法であり，v3.1 では基本評価基準，現状評価基準，環境評価基準の 3 つの基準で評価する。
- 基本評価基準は脆弱性そのものの特性を，現状評価基準は攻撃コードの出現状況や対策の提供状況など時間とともに変化する要素を，環境評価基準は利用者の環境におけるシステムの重要度などを評価する。
- 基本評価基準と現状評価基準は主に製品開発者や脆弱性情報の調整機関が評価し，環境評価基準は製品の利用者が自組織の環境に照らして評価する。
ア基本評価基準は，攻撃元区分や攻撃条件の複雑さなど脆弱性そのものの特性を評価するものであり，時間の経過や利用環境によって変化しない。正解
基本評価基準（Base Metrics）は，攻撃元区分，攻撃条件の複雑さ，必要な特権レベル，影響の大きさなど脆弱性固有の特性を評価する。時間の経過や利用者の環境に依存しない値として定められている。
イ現状評価基準は，脆弱性が存在するシステムの利用者組織における重要度や，組織が講じている緩和策を反映して評価する。
利用者組織におけるシステムの重要度（機密性などの要求度）や緩和策を反映するのは環境評価基準である。現状評価基準は，攻撃コードの成熟度や対策の利用可能性など時間とともに変化する要素を評価する。
ウ評価結果は 0〜100 の数値で表され，値が大きいほど脆弱性の深刻度が高い。
CVSS v3.1 の評価値は 0.0〜10.0 の数値で表され，深刻度はなし（0.0），注意，警告，重要，緊急（9.0〜10.0）の 5 段階に対応付けられる。0〜100 の数値ではない。
エ環境評価基準は，製品の開発者が修正プログラムの提供状況や攻撃コードの出現状況を反映して評価する。
修正プログラムの提供状況（対策のレベル）や攻撃コードの出現状況（攻撃される可能性）を反映するのは現状評価基準である。環境評価基準は，製品の利用者が自組織の環境に照らして評価する。
検証用の出典出典照合済み
FIRST Common Vulnerability Scoring System v3.1: Specification Document ／ IPA 共通脆弱性評価システム CVSS v3 概説照合の根拠（4 件）
- ア（正解）: 基本評価基準の評価結果は時間の経過や利用環境によって変化しない
この基準による評価結果は固定していて、時間の経過や利用環境の異なりによって変化しません。
IPA 共通脆弱性評価システム CVSS v3 概説 · 1.1 CVSS とは (1) 基本評価基準（新しいタブで開きます） - イ（誤り）・エ（誤り）: 攻撃コードの出現や対策情報の利用可能性を評価するのは現状評価基準である
脆弱性の現在の深刻度を評価する基準です。攻撃コードの出現有無や対策情報が利用可能であるかといった基準で評価し、CVSS現状値(Temporal Score)を算出します。
IPA 共通脆弱性評価システム CVSS v3 概説 · 1.1 CVSS とは (2) 現状評価基準（新しいタブで開きます） - イ（誤り）・エ（誤り）: 利用者の環境を反映し，ユーザが評価するのは環境評価基準である
この基準による評価結果は、脆弱性に対して想定される脅威に応じ、ユーザ毎に変化します。ユーザが脆弱性への対応を決めるために評価する基準です。
IPA 共通脆弱性評価システム CVSS v3 概説 · 1.1 CVSS とは (3) 環境評価基準（新しいタブで開きます） - ウ（誤り）: 評価値は 0〜100 ではなく 0〜10.0 である
脆弱性の深刻度を0(低)～10.0(高)の数値で表します。
IPA 共通脆弱性評価システム CVSS v3 概説 · 3. 値の算出方法（新しいタブで開きます）