「CVSSのスコアは、どう読むの?」
「結局、どの脆弱性から直せばいい?」
「CVSSが9.8だから、まずこれを直す」。一見正しそうなこの判断が、現場では最善とは限りません。理由は記事の後半で腹落ちします。
CVEとは脆弱性1件ごとに世界で1つ振る識別番号、CVSSとはその危なさを0.0〜10.0で表す点数です。番号で対象を特定し、点数で深刻度を測る。役割がはっきり分かれています。
この記事では、2つの役割の違いを固め、CVSSスコアの読み方を押さえ、「点数の高い順に直す」がなぜ危ういかを示します。最後に、現場が使う優先順位の決め方まで踏み込みます。
1. CVEは「どれか」、CVSSは「どれくらい危険か」
まず2つの言葉を、役割で切り分けます。CVE（Common Vulnerabilities and Exposures）は、見つかった脆弱性に「CVE-西暦-連番」という一意の番号を割り当てる仕組みです。同じ脆弱性を、世界中の誰もが同じ番号で指せます。
一方のCVSS（Common Vulnerability Scoring System）は、その脆弱性の深刻度を0.0〜10.0で点数化します。攻撃のしやすさや、悪用されたときの影響の大きさなど複数の観点を組み合わせて算出し、数字が大きいほど深刻です。CVEが「どの脆弱性か」を指し、CVSSが「どれくらい危険か」を測る。この分担が、脆弱性情報を読む土台になります。
攻撃の具体的な手口を先に知っておくと、CVEで番号が振られる対象がイメージしやすくなります。代表例は SQLインジェクションとは で整理しています。
2. CVSSスコアの読み方 — 4つの帯
CVSSの数字は、そのままでは扱いにくいので、深刻度の帯（レベル）に分けて読みます。この対応は、対応の急ぎ具合を判断する共通のものさしです。
| CVSSスコア | 深刻度 | 対応の目安 |
|---|---|---|
| 9.0〜10.0 | 緊急（Critical） | 最優先で対処 |
| 7.0〜8.9 | 重要（High） | 早期に対処 |
| 4.0〜6.9 | 警告（Medium） | 計画的に対処 |
| 0.1〜3.9 | 注意（Low） | 影響を見て対処 |
点数はテストの得点のように、高いほど対応を急ぐべき、という向きで読めます。ただし、あなたが押さえておくべきは、この点数が指すのは「その脆弱性そのものの危なさ」であって、「あなたの環境での危なさ」ではない点です。ここが、次の章で崩す落とし穴の入口です。
3. 「点数の高い順に直す」が危ういのはなぜか
ここで冒頭の話に戻ります。あなたがCVSSスコアだけを見て高い順に直す――これは、一見すると合理的です。しかし現場では、この並べ方が最善にならない場面があります。CVSSが測るのは脆弱性単体の危なさで、あなたの環境でその機能が実際に使われているか、外部からどれだけ届くかまでは見ていないからです。
具体例で考えます。CVSS 9.8の脆弱性でも、その機能を自社で無効にしていれば、悪用される経路がありません。逆にCVSS 6.5の脆弱性でも、インターネットに直接公開しているサーバにあれば、攻撃者はすぐ手が届きます。点数が高いほうを後回しにして、点数が低いほうを先に直す――こういう逆転が、現実には起こります。
4. 現場が使う、直す順番の決め方
では、限られた人手で数多くの脆弱性をさばくとき、どう順番を決めるか。脆弱性対応の現場では、CVSSスコアを出発点にしつつ、次の3つを掛け合わせて優先順位を組みます。
- CVSSスコア: その脆弱性そのものの深刻度。まず帯で当たりをつける
- 自社で使っているか: 該当する機能・製品を実際に動かしているか。使っていなければ順位は下がる
- 外部に晒されているか: インターネットから直接届くか。公開サーバなら順位を上げる
この3つを重ねると、「CVSS 6.5だが公開サーバで稼働中」の脆弱性が、「CVSS 9.8だが無効化済み」より先に来る、という現実的な順番が出ます。スコアは順位づけの入り口であって、終着点ではありません。あなたが実務でこの掛け算を持っておくと、脆弱性の洪水の中でも手が止まりません。脆弱性管理が組織全体でどう位置づくかは 情報セキュリティマネジメントとは でつかめます。
5. SGでは、役割の違いが問われる
情報セキュリティマネジメント（SG）試験では、CVEとCVSSは脆弱性管理の中核テーマです。出題の中心は、細かい算出方法ではなく、2つの役割の違いにあります。
あなたが解く問題の定番は「脆弱性を識別する仕組みはどれか」「深刻度を点数で表す仕組みはどれか」という問い方です。識別はCVE、評価はCVSS――この対応さえ握れば、選択肢に両方が並んでも取り違えません。もう1歩踏み込んだ問題では、「CVSSが高くても対応順が変わる理由」を選ばせる形も出ます。ここでは第3章の「環境で危なさが変わる」という視点が効きます。
次のステップ
脆弱性管理はSGの一領域です。情報セキュリティマネジメント試験の試験範囲と勉強法ガイド で試験範囲を先に広げておくと、学習の優先順位が立てやすくなります。
仕上げは 情報セキュリティマネジメント テクノロジ系の問題集 です。脆弱性まわりの設問で役割の見分けを繰り返せば、本番の取り違えが減ります。