SOMPO CYBER SECURITY
CVSSとは、Common Vulnerability Scoring Systemの略称で、日本語では「共通脆弱性評価システム」を表します。
CVSS は、情報システムの脆弱性に関するオープンで包括的、汎用的な評価手法です。基本評価基準、現状評価基準、環境評価基準の３つの基準で脆弱性の深刻さをスコアリングします。
特定のベンダーに依存しない評価手法のため脆弱性管理などで広く用いられています。
多くの公開脆弱性は、NIST（米国国立標準技術研究所）の運営するNVDによってCVSSスコアを付与されています。
現在公開されている最新バージョンは2023年11月リリースされたCVSS v4.0であり、定められた基準に基づいて脆弱性スコアを算出します。
※ 正式な定義はFirst.orgのSpecification Document（外部リンク）等を参照ください。
スコアは以下のとおり分類されます。
| Low | 0.1-3.9 |
| Medium | 4.0-6.9 |
| High | 7.0-8.9 |
| Critical | 9.0-10.0 |
CVEおよびCVSSを用いた組織の脆弱性管理実践法として、情報処理推進機構が「脆弱性対策：共通脆弱性評価システムCVSS解説動画シリーズ」をYouTubeにて公開しています（外部リンク）。
この領域において、20年を超える現場経験から培った知見や見えてきた課題、またその解決方法など、皆さまの参考になるよう、具体的な例を交え、SOMPO CYBER SECURITYでコンサルタントを務める私、山田 淳二が「リスクアセスメントで築く持続可能な事業インフラ」というテーマで、連載コラムをお届けしています。（過去のコラムはこちら） 本連載の最終章となる本コラムでは、セキュリティ対策における最後...
サプライチェーンにおけるセキュリティリスク管理は、今では経営課題の一つに挙げられています。 本資料は、当社と当社のパートナー企業でもあるLAC社のサプライチェーンセキュリティリスク管理に関する豊富な知見をもつ3名が、座談会で語ったサプライチェーンセキュリティ対策が進まない要因や下請け法を巡る問題などについて、ホワイトペーパーにまとめたものです。なお、こちらは2026年1月より、マイナビニュースが運...
この領域において、20年を超える現場経験から培った知見や見えてきた課題、またその解決方法など、皆さまの参考になるよう、具体的な例を交え、SOMPO CYBER SECURITYでコンサルタントを務める私、山田 淳二が「リスクアセスメントで築く持続可能な事業インフラ」というテーマで、連載コラムをお届けしています。 これまでに、前段であるPart0「なぜ、サイバーセキュリティ対策が必要なのか」で「そも...
この領域において、20年を超える現場経験から培った知見や見えてきた課題、またその解決方法など、皆さまの参考になるよう、具体的な例を交え、SOMPO CYBER SECURITYでコンサルタントを務める私、山田 淳二が「リスクアセスメントで築く持続可能な事業インフラ」というテーマで、連載コラムをお届けしています。 これまでに、 Part0として「なぜ、サイバーセキュリティ対策が必要なのか」という「そ...