CVSSとは（全体像）
脆弱性には番号（CVE）が付くが、それだけでは「どれくらい危ないか」がわからない。そこで深刻度を点数で表す共通の物差しがCVSS（Common Vulnerability Scoring System）だ。
点数は0.0〜10.0。攻撃がネット越しにできるか、被害はどれくらいか、などを総合して決まる。世界共通の基準なので、どの脆弱性がより急いで対応すべきかを判断しやすくなる。
押さえるのは、CVEとの違い（番号か点数か）、点数の構成、そして深刻度の区分だ。
詳しく：構成と区分を押さえる
ここが心臓部。CVSSの点数は、いくつかの種類で構成される。
CVSSの点数の構成
| 種類 | 内容 |
|---|---|
| Base（基本） | 脆弱性そのものの危なさ。最重要・変わらない（攻撃経路・被害の大きさなど） |
| Threat（脅威） | 攻撃の道具が出回っているかなど、時間で変わる要素 |
| Environmental（環境） | 自分の利用環境での重要度で補正する要素 |
そして、点数は深刻度の4区分に分けられる。
CVSSの深刻度の区分
| 区分 | 点数の目安 |
|---|---|
| Low | 低い |
| Medium | 中くらい |
| High | 高い |
| Critical | 9.0以上（最も深刻・最大は10.0） |
言葉を噛み砕いておく。
- Baseが最重要 … Baseは脆弱性そのものの危なさで、基本的に変わらない。まずここを見る。ThreatやEnvironmentalは、状況に合わせて補正する役目。
- CVEとCVSSの違い … CVEは「どの弱点か」を指す番号、CVSSは「どれくらい危ないか」を表す点数。役割がまったく違う。
- Criticalは9.0以上 … いちばん深刻な区分はCritical。点数の最大は10.0だが、9.0でもCriticalにあたる（「10.0だけが最悪」ではない）。
わかりやすく言い換えると
つまり、CVSSは脆弱性の「危険度を点数で表す共通テスト」にたとえるとスッと入る。
CVEが「カルテ番号（どの弱点か）」なら、CVSSは「重症度スコア（どれくらい危ないか）」。0〜10の点数で表すので、たくさんの弱点の中から「どれを先に手当てすべきか」を決めやすい。
点数の土台になるのがBase（基本点）で、これは弱点そのものの危なさ。状況に合わせてThreat（出回り具合）やEnvironmental（自社での重要度）で微調整する。点数はLow/Medium/High/Criticalの4段階に分けられ、Criticalは9.0以上（満点は10.0）だ。
試験のツボ
🔴 一番出る：CVEとCVSSの違い
①CVE＝どの弱点かを指す番号
②CVSS＝どれくらい危ないかを表す点数（0.0〜10.0）
🔴 次に出る：点数の構成と区分
①Base（基本・最重要・不変）・Threat・Environmentalで構成
②区分はLow/Medium/High/Critical（Criticalは9.0以上）
🟡 押さえると安定：運営はFIRST.org。いまはv3.1が主流で、v4.0も公開（受験年度で確認）
よくある間違い
①「CVSSとCVEは同じものだ」→ ✗ CVEは「どの弱点か」の番号、CVSSは「どれくらい危ないか」の点数。役割が違う。
②「CVSSはちょうど10.0だけが最も深刻な値だ」→ ✗ 10.0は最大値だが、Critical区分は9.0以上。9.0でも最も深刻な区分に入る。
③「CVSSはBaseを使わず、環境の点だけで決まる」→ ✗ 土台はBase（基本）で最重要。Threatや環境は補正の役目。
試験での出題パターン
実際の問題でたしかめてみよう。
オリジナル問題1（CVEとCVSSの違い）
CVSSに関する次の記述のうち、正しいものはどれか。
- CVSSは脆弱性の深刻度を0.0〜10.0の点数で表す物差しで、CVEはどの弱点かを指す番号という違いがある
- CVSSもCVEもまったく同じもので、どちらも弱点に付ける番号を表しているだけであるとされているのだ
- CVSSは脆弱性を自動で修正するプログラムのことで、深刻度を点数で表すこととはいっさい無関係であるとされている
- CVSSはソフトの値段を点数で表す指標のことで、セキュリティの深刻度とは関係しないとされているものだ
解答は 1 である。
CVSSは深刻度を0.0〜10.0の点数で表す物差し、CVEは「どの弱点か」を指す番号。点数か番号か、で役割が分かれる。
選択肢2は「まったく同じ」が誤り。選択肢3は「自動修正プログラム」が誤り。選択肢4は「値段の指標」が誤りだ。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✓ | CVSS＝点数・CVE＝番号で正しい |
| 2 | ✗ | 同じではなく役割が違う |
| 3 | ✗ | 修正プログラムではない |
| 4 | ✗ | 値段の指標ではない |
オリジナル問題2（点数の構成）
CVSSの点数の構成に関する次の記述のうち、正しいものはどれか。
- CVSSの点数はThreatだけで決まり、Baseや環境の要素はいっさい使われることがないしくみであるとされているのだ
- CVSSの点数はソフトの発売日だけで自動的に決まり、攻撃経路や被害の大きさは見ないとされているものだ
- CVSSの点数は毎回くじ引きでランダムに決められ、脆弱性の中身とは関係なく変わるとされているのが実情だ
- CVSSの点数は脆弱性そのものの危なさを表すBaseが土台で最重要、ThreatやEnvironmentalで補正する
解答は 4 だ。
CVSSの点数は、脆弱性そのものの危なさを表すBase（基本）が土台で最重要。状況に合わせてThreat（出回り具合）やEnvironmental（自社での重要度）で補正する。
選択肢1は「Threatだけ」が誤りで、土台はBase。選択肢2の「発売日だけ」、選択肢3の「くじ引き」も誤りだ。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✗ | 土台はBaseで、Threatだけではない |
| 2 | ✗ | 発売日だけでは決まらない |
| 3 | ✗ | くじ引きではない |
| 4 | ✓ | Baseが土台で最重要・他で補正で正しい |
オリジナル問題3（深刻度の区分）
CVSSの深刻度の区分に関する次の記述のうち、正しいものはどれか。
- CVSSの区分はちょうど10.0という値だけが最も深刻で、9.0台はすべて軽い区分に入るとされているのが実情だ
- CVSSの深刻度はLow・Medium・High・Criticalに分けられ、Criticalは9.0以上にあたる
- CVSSには深刻度の区分というものがいっさいなく、点数の高い低いを比べることはできないとされているのだ
- CVSSの区分はすべての脆弱性をLowの1段階だけで表し、HighやCriticalは存在しないとされているものである
解答は 2 だ。
CVSSの深刻度はLow・Medium・High・Criticalの4区分。最も深刻なCriticalは9.0以上で、点数の最大は10.0だ。
選択肢1は「10.0だけが最も深刻」が誤りで、9.0以上がCritical。選択肢3は「区分がない」が誤り。選択肢4は「Lowの1段階だけ」が誤りだ。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✗ | 9.0以上がCritical。10.0だけではない |
| 2 | ✓ | 4区分・Criticalは9.0以上で正しい |
| 3 | ✗ | 区分はある |
| 4 | ✗ | High・Criticalも存在する |
まとめ
押さえどころ
- 🔴 CVSS ＝ 脆弱性の深刻度を0.0〜10.0の点数で表す物差し（FIRST.org運営）。CVE＝番号・CVSS＝点数。
- 🔴 点数はBase（基本・最重要・不変）・Threat・Environmentalで構成。
- 🟡 区分はLow/Medium/High/Critical。Criticalは9.0以上（最大10.0）。いまはv3.1主流・v4.0も公開（受験年度で確認）。
次に学ぶ
- CVE（脆弱性識別子） ── CVSSが点数を付ける対象、脆弱性の番号のしくみ。
- NWセキュリティ（FW・IDS/IPS・WAF） ── 深刻な脆弱性をねらう攻撃を、入口で防ぐしくみ。
- ゼロトラスト認証（条件付きアクセス） ── 弱点を悪用されにくくする、現代の守りの考え方。
執筆: SikakuQuest編集部