CVSS（共通脆弱性評価システム）とは？

Common Vulnerability Scoring System（CVSS）は、セキュリティ上の脆弱性の深刻度を評価し、順位付けするためのオープンな枠組みです。サイバーセキュリティの専門家は、CVSSスコアを主にリスク軽減に活用します。スコアは0から10までで、脆弱性の深刻度を示します。2023年の報告書では、新たに報告された脆弱性の約93%がNational Vulnerability Database（NVD）で未分析と推定されました。その結果、概念実証用のエクスプロイトが公開され、攻撃に悪用されている可能性が高い脆弱性が、驚くほど多く未管理のままになっています。

このギャップは、共通の脆弱性評価システムの重要性を示しています。組織は脆弱性を一貫した基準で評価し、優先順位を付けられます。それを基に、新たな脅威にもより積極的に対処できます。

この記事では、共通脆弱性評価システムを詳しく解説します。脆弱性評価システムとCVSSスコアの算出根拠を説明し、CVSS計算ツールを確認します。さらに、効果的な脆弱性管理を支えるほかのシステムとも比較します。組織のサイバーセキュリティ態勢を強化するために必要な情報を得られます。

CVSS（共通脆弱性評価システム）とは？

CVSS（共通脆弱性評価システム）は、ソフトウェアの脆弱性を評価し、その深刻度を伝えるための標準化された仕組みです。深刻度は0から10までの数値で示され、値が高いほど脆弱性は深刻です。CVSSは2005年に米国の国家インフラ諮問委員会（NIAC）によってCVSS 1.0として公開されました。その後、NIACはCVSSの今後の開発を担う組織として、FRONTの通称で知られるインシデント対応・セキュリティチームのフォーラムを選定しました。

CVSSには、基本評価基準、現状評価基準、環境評価基準の3つの指標グループがあります。これらの指標により、組織は悪用の容易さ、システム内での影響範囲、環境ごとの緩和策など、脆弱性のさまざまな側面を把握できます。この体系的なアプローチにより、組織は脆弱性に効率よく対処し、各脆弱性で想定される影響に応じてパッチ適用や緩和策の優先順位を決められます。

脆弱性管理にCVSSが重要な理由

CVSSは脆弱性管理において重要な役割を果たし、組織が脆弱性を体系的に評価して優先順位を付けるための基準となります。CVSSを効果的に活用すれば、必要に応じてリソースを配分し、組織全体のセキュリティを確保できます。以下に、脆弱性管理におけるCVSSの重要性を示す要素を紹介します。

1. プラットフォーム間での評価基準の統一： 大規模なIT環境を運用する組織には、プラットフォームやシステムを横断して脆弱性を評価する統一的な枠組みが必要です。CVSSはその枠組みを提供します。同じ基準ですべての脆弱性を評価できるため、意思決定の確かな根拠になります。
2. 優先すべき脆弱性への集中： CVSSを使えば、セキュリティチームは共通の深刻度指標に基づいて脆弱性に優先順位を付けられます。主観による偏りを排除し、ITチームは最も重大な脆弱性から対処できます。あるレポートによると、組織の71%が脆弱性を社内で管理していましたが、自社の取り組みが非常に効果的だと考えていたのは30%だけでした。一方、44%はセキュリティ対策の強化に向け、脆弱性管理製品への投資を増やす予定です。
3. セキュリティプロセスの自動化： CVSSスコアは通常、脆弱性管理に使用する自動化ツールから提供されます。こうしたツールは、パッチ適用や緩和策の優先順位を自動で決定し、パッチ適用までの時間と人的ミスを減らします。CVSSによって手作業でのリスク評価を減らす自動化が進み、対応も迅速になります。
4. ステークホルダーとの円滑なコミュニケーション： CVSSは脆弱性について話し合うための共通言語です。ITチームや開発チームは、技術部門以外のステークホルダーにも取り組みを適切に伝えられます。脆弱性管理に関わる全員が課題を共有することで、リソースを適切に配分でき、セキュリティ施策の必要性も説明しやすくなります。
5. 規制要件への準拠： CVSSを使用すると、組織は脆弱性を積極的に管理していることを示し、GDPR、PCI-DSS、CCPAなどの規制基準への準拠を進められます。多くの規制環境では積極的な脆弱性管理が求められます。CVSSは、セキュリティのベストプラクティスに従っていることを証明するために必要な透明性を提供します。CVSSのように広く認められた共通のシステムで脆弱性を分析し、優先順位を付ければ、コンプライアンス監査も簡素化できます。
6. 情報に基づくパッチ管理の判断： スコアの高い脆弱性から対処し、最大のリスクを軽減するためにリソースを投入する必要があります。ある調査では、組織の62%がデータ侵害を経験するまで自社の脆弱性を把握していませんでした。この結果は、効果的かつ情報に基づいたパッチ管理の重要性を示しています。脆弱性に先手を打って対処すれば、組織は侵害のリスクを大幅に減らし、全体的なセキュリティ態勢を強化できます。
7. ステークホルダーとのコミュニケーションの改善： CVSS は、脆弱性について議論するための共通言語を提供し、IT チームや開発チームが、技術に精通していないステークホルダーと、自分たちの作業内容を適切に伝達することを可能にします。共通認識により、脆弱性管理に関わる全員が同一の問題を把握できるため、リソースを適切に配分でき、セキュリティ施策の正当化が容易になります。
8. 規制要件への準拠: CVSSの使用は、組織が脆弱性の積極的な管理を実証することを可能にし、GDPR、PCI-DSS、CCPAなどの規制基準への準拠を促進します。ほとんどの規制環境では積極的な脆弱性管理が求められており、CVSSはセキュリティベストプラクティスが遵守されていることを証明するために必要な透明性を提供します。CVSSのような共通で広く受け入れられたシステムを使用して脆弱性を分析し優先順位付けすることで、コンプライアンス監査が簡素化される可能性があります。
9. 情報に基づいたパッチ管理の意思決定： スコアの高い脆弱性を優先的に対処することで、最大のリスク軽減にリソースを投入できます。調査によると、62％の組織はデータ侵害を経験するまで自社の脆弱性を認識しておらず、効果的かつ情報に基づいたパッチ管理の重要性が浮き彫りになった。脆弱性を積極的に対処することで、組織は侵害リスクを大幅に低減し、全体的なセキュリティ態勢を強化できる。

CVSSとほかの脆弱性評価システムの比較

特定の業界や用途に合わせた脆弱性評価システムが複数あるため、組織が一つを選ぶのは容易ではありません。そこで次のセクションでは、共通脆弱性評価システムとほかの主要な評価システムを比較し、それぞれの特徴と用途を紹介します。

これらを比較すると、CVSSが複数の業界で採用されている標準であることは明らかです。幅広い用途を想定したCVSSは、従来のITシステムでも最新のクラウド環境でも、比類のない適応力で脆弱性を評価できます。一方、OWASPのリスク評価手法は主にWebアプリケーションを対象とし、潜在的なリスクと影響に基づく主観的な判断への依存度が高くなります。

Microsoft独自の脆弱性スコアリングシステムはWindows環境では有効ですが、CVSSほど幅広く適用できません。多様なITインフラを持つ組織は、CVSSを使ってプラットフォームを横断し、一貫した基準で脆弱性を評価できます。包括的な指標による詳細な評価を通じて、各脆弱性に伴う全体的なリスクをより深く把握できます。

CVSSとCVEの比較

ほかの脆弱性スコアリングシステムとの違いを確認したところで、CVSSとCommon Vulnerabilities and Exposures（CVE）を比較します。脆弱性管理における両者の主な違いは、その目的にあります。CVEは公開されている既知の脆弱性を固有の識別子とともに一覧化し、CVSSはそれらの脆弱性の深刻度を評価するスコアリングシステムを提供します。以下の表で詳しく見ていきましょう。

上の表から、CVEは脆弱性のリポジトリとして機能し、特定された脆弱性ごとに識別子を割り当てることがわかります。これにより、プラットフォームや業界をまたいだ追跡と情報共有が可能になります。CVSSは、CVSの情報を基に脆弱性の深刻度を評価し、追加の文脈を提供します。つまり、CVSSは組織が適切な修復措置を判断するための情報を提供し、CVEを補完します。

CVEが「どのような脆弱性か」に答えるのに対し、CVSSは「その脆弱性はどれほど深刻か」に答えます。どちらも一連の脆弱性管理プロセスに含まれます。CVEのような脆弱性の特定が最初のステップとなり、CVSSのような対応の優先順位付けに必要な情報がそれに続きます。

CVSSスコアリング手法を理解する

CVSSのスコアリング手法では、指標を基本評価基準、現状評価基準、環境評価基準の3つの主要なグループに分けます。それぞれの指標が、脆弱性の全体像を反映する包括的なスコアの算出に寄与します。組織はこれらの指標から、特定の脆弱性がどのように悪用されるか、悪用される可能性はどの程度か、自社の環境にどのような影響が及ぶかを把握できます。

CVSSの各指標：基本評価基準、現状評価基準、環境評価基準のスコア

CVSSのスコアリングモデルは、3種類の評価指標に基づいています。これらを組み合わせて脆弱性の深刻度を数値化します。各指標には固有の役割があり、脆弱性がもたらすリスクを異なる角度から評価できます。それぞれ詳しく見ていきましょう:

1. 基本評価指標: 基本評価指標は、時間が経っても変わらない脆弱性の特性を示します。攻撃経路がネットワーク経由か、隣接ネットワーク経由か、ローカル経由かといった要素が含まれます。影響を示す指標には、機密性、完全性、可用性があります。これらがCVSSスコアの基礎となります。
2. 現状評価指標: 現状評価指標は、時間とともに変化する要因を考慮します。たとえば、攻撃コードや対策の有無です。パッチが公開されると、リスクの低下を反映して評価が更新されます。脆弱性に関する情報が増えるにつれてCVSSスコアも変化するため、現状を反映した評価が得られます。
3. 環境評価指標: 環境評価指標を使うと、影響を受けるシステムの特性に応じてCVSSスコアを調整できます。基本評価と現状評価のスコアに組織固有の環境を反映し、脆弱性の影響を評価します。組織が実際に直面するリスクを把握するには、この調整が重要です。

CVSSスコアの深刻度評価: 低、中、高、緊急

CVSSスコアには、脆弱性がもたらすリスクに応じて異なる深刻度が設定されています。「低」「中」「高」「緊急」の評価から、組織は対応の緊急性と影響を把握し、修正に必要なリソースを見積もれます。各スコア範囲の意味は次のとおりです:

1. 低 (0.1 – 3.9): スコアが低い脆弱性がシステムにもたらすリスクは最小限です。悪用が難しいか、悪用されても影響がごく小さい脆弱性です。悪用される可能性や中核機能への影響がほぼ無視できるため、組織は対応を後日に回すこともあります。
2. 中 (4.0 – 6.9): この区分の脆弱性は、悪用に一定の労力を要するか、悪用された場合に中程度の影響をもたらします。注意は必要ですが、通常は深刻な事態には至りません。そのため、チームは対応可能なリソースと現在の業務量に応じて優先順位を決める必要があります。
3. 高 (7.0 – 8.9): スコアが高い脆弱性は比較的悪用しやすく、悪用されるとシステムの機密性、完全性、可用性に影響します。長期間放置すると組織で重大なセキュリティインシデントが発生するリスクが高まるため、解消には本格的な修正対応が必要です。
4. 緊急 (9.0 – 10.0): 緊急の脆弱性は最も脅威が大きく、最優先で対応すべきです。悪用が容易なものや、悪用されると重大な被害につながるものが含まれます。多くの組織では、緊急の脆弱性を特定すると、緊急パッチの適用などの手順を実施します。

CVSSスコアはどのように計算されますか？

CVSSスコアの算出にはさまざまな指標が関わるため、企業にとって複雑な作業になる場合があります。体系的な手法に従い、脆弱性の影響を含む各要素を慎重に評価します。ここでは、スコアリングのプロセスを4つの段階に分けて説明します:

1. 基本評価指標グループの評価: 最初に、脆弱性そのものの特性を示す基本評価指標に値を割り当てます。対象となるのは、攻撃経路、攻撃の複雑さ、必要な権限、ユーザー操作の要否、機密性・完全性・可用性への影響です。基本評価指標から、脆弱性固有の性質を踏まえた最初のリスク基準値を算出します。
2. 現状評価指標グループの評価: 次に、現状評価指標を評価します。対策や攻撃コードの有無、報告の信頼性など、脆弱性の現在の状況を確認します。悪用のしやすさや修正状況に応じて現状評価スコアは変化するため、組織は状況の変化に合わせてリスクを再評価する必要があります。
3. 環境評価指標グループの調整: 3番目に、環境評価指標を考慮します。組織は、自社環境における脆弱性の影響を反映するよう、基本評価と現状評価のスコアを調整します。環境評価指標には組織ごとに異なるセキュリティ要件が含まれるため、CVSSスコアを事業のセキュリティ優先事項や運用要件に即したものにできます。
4. CVSS計算ツールによるスコアの算出: すべての評価指標グループを採点した後、National Vulnerability Database（NVD）で利用できるCVSS計算ツールで最終スコアを算出します。このスコアは脆弱性の深刻度を示し、組織が修正対応をより的確に進めるための判断材料になります。

組織はCVSSを使って脆弱性の優先順位をどう決められますか？

脆弱性の優先順位付けは、効果的なサイバーセキュリティ戦略の重要な要素です。CVSSスコアリングは、組織が直ちに対処すべき脆弱性と後回しにできる脆弱性を識別するのを支援します。脆弱性管理にCVSSを活用する組織は、体系的にリスクを軽減できます。以下に、組織がCVSSを活用する方法を示します：

&

1. 深刻度スコアによるランク付け:7.0以上の高リスクおよび重大な脆弱性は、大規模なセキュリティ侵害のリスクを低減するため、直ちに修正すべきです。この優先順位付けにより、組織は最も危険な脅威にリソースと時間を集中させることで、修正作業を管理できます。したがって、これらの深刻な脆弱性を最優先に対処することで、重要な資産を真に保護し、組織の業務への潜在的な混乱を軽減できます。
2. 事業目標との戦略的整合性に基づく是正措置：組織は環境指標を用いて重要度に基づきCVSSスコアを調整し、重要資産や必須機能に影響を与える脆弱性に集中すべきです。これにより、是正措置が主要な戦略的ビジネス目標の達成に直接貢献します。影響度による優先順位付けにより、組織は成功とセキュリティにとって最も重要なリスクに集中できるため、リソースの活用を最大化できます。
3. 脆弱性への自動対応： ほとんどの脆弱性管理システムは、自動化された優先順位付けプロセスを実現するため、CVSS スコアリングメカニズムと統合されています。こうしたシステムは、CVSSによる誤りを最小限に抑えつつ、重大な脆弱性への自動対応としてワークフローを起動できます。自動化により組織は手作業を削減でき、セキュリティチームは緊急の脆弱性により効果的に対処し、全体的なセキュリティ対応力を向上させられます。
4. CVSSと脅威インテリジェンスの統合: 脅威インテリジェンス をCVSSスコアに統合することで、組織は各脆弱性に対する現実世界のリスクをリアルタイムでより深く理解できます。脅威インテリジェンスデータにより、特定の脆弱性が実際に悪用されていることが判明し、優先順位が変更される可能性があります。これにより組織は、進行中の攻撃に一歩先んじ、新たな脅威に対して積極的に防御できます。
5. CVSSに基づく優先順位付けの定期的な見直しと更新：&組織全体でCVSSに基づく優先順位付けを継続的に見直し、精緻化する必要があります。これにより、セキュリティ戦略が変化するセキュリティ要件や進化するリスク認識を反映できるようになります。優先順位更新の契機となる事象には、新たな脅威データ、インフラストラクチャの変更、事業目標・目的の変更などが含まれます。この定期的な精緻化により、脆弱性管理プロセスはCVSSの精度と適切性を活用し、セキュリティを能動的かつ適応的なものにします。

CVSSの限界とは？

CVSSは脆弱性の深刻度評価に有効なツールですが、固有の欠点も存在します。これらの限界を理解することで、企業はこの技術をどのように適用すべきかについて、より情報に基づいた意思決定が可能になります。

さらに、限界を理解することで、組織は残されたギャップを埋める補完ツールを効果的に導入できる立場に立つことができます。

1. 文脈固有情報の欠如: CVSS自体は、組織固有の詳細（ビジネス価値や組織特有の脅威環境など）を本質的に考慮していません。ユーザーは、自身の環境やユースケースに適した形でスコアを適切に調整するため、環境メトリクスを適用する必要があります。
2. スコア付与における主観性：  一部は主観的であり、従って評価者の経験に依存する。例えば、攻撃の複雑さや必要な特権は大きく異なる可能性がある。そのため、脆弱性の優先順位付けが過大または過小評価され、最終的に脆弱性管理プロセスの効率性に影響を及ぼす恐れがある。標準化されたスコアリングガイドラインは、このようなリスクを最小限に抑える。
3. 悪用可能性の推移を考慮しない: 一時的な指標は悪用可能性によって変動しますが、CVSSは攻撃動向が将来のリスクに与える影響を考慮しません。脆弱性はスコアが非常に低くても、時間の経過とともに新たなエクスプロイトが開発されることでさらに危険性を増す可能性があります。そのため、より深い理解を得るには、脅威インテリジェンスツールでCVSSを補完することが不可欠です。
4. 脆弱性間の相互作用に関する洞察が限定的： CVSSによるスコアリングだけでは、複合脆弱性の相乗効果を考慮できません。多数の脆弱性を悪用する大規模で複雑な攻撃グラフは、スコア表示だけでは表現しきれないほどリスクが高い。こうした複合リスクを特定・修正するには、攻撃経路分析またはペネトレーションテストによる補完が必要となる。
5. スコアリングの静的性質： CVSSスコアの問題点は、特定の時点のスナップショットに過ぎないことです。脅威環境の変化や組織が属する状況の変化に応じてスコアは更新されません。この「静的」な性質ゆえに、特に急速に変化する脆弱性においては、一部の評価が著しく時代遅れになることがあります。
6. 多様な環境下での優先順位付けに関する最低限の指針: CVSSだけでは、異なる規制要件や運用要件を持つ多様な環境に対して適切な優先順位付けの指針を提供できません。例えば、金融分野の脆弱性はコンプライアンス上の問題から即時対応が必要な場合がある一方、他業界では重要度が低い場合もある。組織は業界固有のリスク要因とCVSSを組み合わせて活用し、コンプライアンスと運用上の優先順位がこれらのリスク要因と整合するよう確保すべきである。

共通脆弱性評価システム（CVSS）のベストプラクティス

組織によるCVSSのベストプラクティス活用は、その有用性を最大化すると同時に、限界を効果的に扱うのに役立ちます。こうした実践により、一貫した適用が保証され、セキュリティチームは最も重要な局面で適切に焦点を当て、緩和策を講じることが可能になります。&

CVSSのベストプラクティスを以下に示します：

1. CVSSスコアと脅威インテリジェンスの統合： 現在の脅威インテリジェンスにCVSSスコアを組み込むことで、脆弱性の可視性が向上し、真のリスク評価が可能になります。トレンドやより活発な脅威など、他の側面を考慮する余地が生まれます。したがって、この脆弱性管理アプローチは動的で応答性に優れています。
2. 環境メトリクスの活用： 環境メトリクスを効果的に活用することで、組織の特定の状況に合わせてスコアを調整できます。この調整により、汎用的なスコアリングと組織固有のリスク管理の間のギャップを埋め、限られたリソースが最大の影響を与える場所に確実に投入されるようになります。
3. CVSSスコアは頻繁に更新される： 実際の問題は、脆弱性の進化に伴い使用されるCVSSスコアを絶えず更新する必要がある点です。一時的指標の開発により、継続的な脆弱性に対するスコアが現在の悪用可能性とパッチの入手可能性を反映するようになります。これにより、脆弱性状況の動的な変化に適応した対策戦略が可能となります。
4. 資産の重要度に基づく優先順位付け：資産の重要度に加えCVSSを活用することで、緩和策策定時に焦点を明確化できます。CVSSスコアと資産価値・重要度を照合することで、セキュリティチームは悪用時の影響が大きい脆弱性に注力可能となります。このアプローチにより、最もリスクの高い資産が確実に検討対象となり、保護が最も必要な箇所で防御が実現されます。
5. セキュリティ機能間の連携:リスク管理やインシデント対応など、異なるセキュリティ機能がスコアの意味解釈に参画することで、脆弱性管理に向けた共通の取り組みが確保されます。クロスファンクショナルチームは、CVSSスコアが各事例において即時的な脅威評価と長期的な戦略計画の両方に適用されるよう協力します。これにより、チーム間の行動が全体的なセキュリティ態勢に向けて調整されます。
6. CVSSと修正タイムラインの統合： CVSSスコアに基づく修正タイムラインを設定することで、構造化された対応努力が可能となり、遅延を回避できます。組織はCVSSスコアを特定の対応時間と関連付け、タイムリーな修正ポリシーを徹底します。これにより脆弱性は予測可能かつ効率的に処理されます。この構造化されたアプローチにより、セキュリティチーム全体での事前リソース計画と責任の明確化が可能となります。

CVSSの実践例

CVSSの実践例は、ビジネスにおけるCVSSの関連性を実証するのに役立ちます。企業にとっての重要性を示すのに役立ち、概念に関する実践的な知識を得ることができます。広く知られている脆弱性の例を、関連するCVSSスコアと組織にとっての意味とともに以下に示します：

1. Heartbleed (CVE-2014-0160)： Heartbleed は、OpenSSL暗号ソフトウェアライブラリにおける脆弱性であり、CVSSベーススコアは7.5でした。この脆弱性により、攻撃者はハートビート機能を利用して、影響を受けたサーバーのメモリから直接機密データを読み取る可能性がありました。秘密鍵やユーザー認証情報を含む。この高いスコアは機密性への重大な影響を示しており、組織は緊急のパッチ適用を最優先せざるを得ませんでした。広範な脆弱性の影響で多数のウェブサイトが被害を受け、業界全体でセキュリティ対策の強化と意識向上が強く推進される契機となりました。また、大規模なデータ漏洩や個人情報盗難につながる可能性もあり、早急な対策が求められています。
2. Windows SMBリモートコード実行脆弱性 (CVE-2017-0144): この脆弱性のCVSSスコアは 8.8の高リスクと評価されました。これはWindowsシステム内でリモートコード実行を可能にするためです。実際、WannaCryランサムウェアは、Microsoftのサーバーメッセージブロック（SMB）実装内の脆弱性を悪用したこの攻撃ツールを使用したため、世界中の数十万台のコンピュータに影響を与えました。これはMicrosoftのサーバーメッセージブロック（SMB）実装内の脆弱性を悪用したものでした。この脆弱性により、攻撃者は認証なしでシステムにアクセスし、任意のコードを実行することが可能でした。このスコアは、パッチ適用とシステム更新の緊急性を明確に示しており、サイバー犯罪者がソフトウェアやシステムの類似脆弱性をいかに迅速に悪用するかを浮き彫りにしました。今後このような悪用が発生しないよう、より強固なセキュリティ対策の導入が推奨される。
3. Shellshock (CVE-2014-6271): Shellshock は、Bash シェルに存在する脆弱性で、CVSS スコアは 9.8と評価され、重大な脆弱性として分類されました。環境変数を利用することで、ハッカーはUnixベースのシステム上で任意のコマンドを実行することが可能でした。この脆弱性の影響範囲は極めて大きく、多数のデバイスが危険に晒されたため、世界中のシステム管理者は緊急対応を迫られました。リモートからの侵入経路は認証されておらず、システムは多くの侵入経路に対してほとんど制御を行っていませんでした。完全性と機密性の観点から、脅威に対して非常に脆弱な状態でした。組織は将来の再発防止に向け、広範なセキュリティ対策と迅速な修正を余儀なくされた。
4. Log4Shell (CVE-2021-44228): Log4Shell は、Log4jロギングライブラリの脆弱性に基づくもので、CVSSスコア10という重大な評価を受けています。これにより、攻撃者は特別に細工されたログメッセージを受信した際に、当該ライブラリを実装するサーバー上で任意のコード実行を実現することが可能となります。数千のパッケージにまたがる多数のアプリケーションで適用されたこの高リスク脆弱性により、該当分野では大規模な緊急パッチ適用が求められました。組織はシステムを悪用から守るため極度のプレッシャー下で対応を迫られ、パッチ適用を怠れば重大なデータ侵害や業務中断を招く事態でした。この事象は、ソフトウェアライブラリの更新維持と、こうした脆弱性への常時警戒の必要性を浮き彫りにしました。
5. SpectreとMeltdown (CVE-2017-5754): SpectreとMeltdown は、データプライバシーとシステム完全性に関連する深刻な影響からCVSSスコア5.6と評価されたマイクロプロセッサの脆弱性です。CPUアーキテクチャ上のこのような欠陥により、攻撃者はメモリ内に保持される情報をアプリケーションを超えてアクセスすることが可能となります。修正はソフトウェアパッチとハードウェアレベルのアーキテクチャ変更の組み合わせを必要としたため非常に困難であり、これは世界中の組織にとって問題となりました。これにより、ハードウェアセキュリティに関するさらなる研究が進み、コンピューティング技術における新たな脅威に関連するリスクを軽減するための予防的対策が発展しました。

AIを活用したサイバーセキュリティ
リアルタイムの検知、マシンスピードのレスポンス、デジタル環境全体の可視化により、セキュリティ態勢を強化します。
デモを見る

結論

結論として、CVSSが多様なシステムにおける脆弱性の評価と管理の標準となった経緯を理解しました。ベース指標、時間的指標、環境的指標の適用により、組織は脆弱性管理において同一の方法論を適用できます。このような体系的なアプローチにより、適切な優先順位付けとリソース配分が可能となり、情報に基づいた意思決定だけでなく、効果的な管理も実現します。CVSSの欠点は認識されているものの、脅威インテリジェンスと資産の重要度を考慮することで、セキュリティ態勢の改善やコンプライアンス対応において、最小限の混乱で活用できる基本ツールへと変貌します。

脆弱性の優先順位付けは、効果的なサイバーセキュリティ戦略の重要な要素です。CVSSスコアを使えば、直ちに対応すべき脆弱性と、後から対応できる脆弱性を見極められます。脆弱性管理にCVSSを取り入れることで、組織はリスクを体系的に軽減できます。活用方法は次のとおりです:

1. スコアの深刻度による順位付け: 7.0以上の「高」および「緊急」の脆弱性は、大規模なセキュリティ侵害のリスクを減らすため、直ちに修正すべきです。最も危険な脅威に時間とリソースを集中させることで、修正対応を効率的に進められます。深刻な脆弱性から対処すれば、重要な資産を守り、事業運営への潜在的な影響を抑えられます。
2. 事業目標に沿った戦略的な修正対応: 組織は環境評価指標を使い、重要度に応じてCVSSスコアを調整すべきです。これにより、重要資産や不可欠な業務機能に影響する脆弱性に集中できます。修正対応を主要な事業戦略目標に直結させ、事業の成功とセキュリティに最も関わるリスクを優先することで、リソースを最大限に活用できます。
3. 脆弱性への自動対応: 多くの脆弱性管理システムには、優先順位付けを自動化するためのCVSSスコアリング機能が統合されています。これらのシステムは、CVSSに基づいてミスを抑えながら、緊急の脆弱性に対応するワークフローを自動起動できます。自動化によって手作業を減らし、セキュリティチームは緊急の脆弱性により効果的に対処できます。全体的な対応力も高まります。
4. CVSSと脅威インテリジェンスの統合: 適用することで 脅威インテリジェンスをCVSSスコアに反映すると、組織は各脆弱性が実際にもたらすリスクをリアルタイムでより正確に把握できます。特定の脆弱性が現在悪用されていることが脅威インテリジェンスデータから判明すれば、対応の優先順位も変わります。これにより、組織は進行中の攻撃に先手を打ち、新たな脅威から事前に保護できます。
5. CVSSに基づく優先順位の定期的な見直しと更新: 組織全体でCVSSに基づく優先順位付けを継続的に見直し、改善する必要があります。これにより、変化するセキュリティ上のニーズやリスク認識を戦略に反映できます。新たな脅威データ、インフラの変更、事業目標の変更などが、優先順位を更新するきっかけになります。定期的な改善により、脆弱性管理プロセスはCVSSの正確性と妥当性を活かし、セキュリティをよりプロアクティブで適応力のあるものにします。

CVSSにはどのような限界がありますか？

CVSSは脆弱性の深刻度を評価する有効なツールですが、限界もあります。その限界を理解することで、企業はCVSSの活用方法について、より多くの情報に基づいて判断できます。

また、限界を把握すれば、不足する部分を補うツールを適切に活用できます。

1. 固有の状況に関する情報の不足: CVSS自体は、事業上の価値や組織固有の脅威状況といった詳細を自動的には考慮しません。利用者は環境評価指標を適用し、自社の環境と用途に合わせてスコアを適切に調整する必要があります。
2. スコア付けにおける主観性:  一部の評価は主観的で、採点者の経験に左右されます。たとえば、攻撃の複雑さや必要な権限の評価は大きく異なる場合があります。その結果、脆弱性の優先順位を高く、または低く設定しすぎて、脆弱性管理の効率に影響する可能性があります。標準化されたスコアリング指針は、こうしたリスクを抑えます。
3. 悪用傾向を考慮しない: 現状評価指標は悪用のしやすさに応じて変化しますが、CVSSは攻撃の傾向が将来のリスクに与える影響を考慮しません。スコアが非常に低い脆弱性でも、時間の経過とともに新たな攻撃手法が開発されれば、危険性が高まります。より深く理解するには、CVSSを脅威インテリジェンスツールで補うことが不可欠です。
4. 脆弱性間の相互作用に関するインサイトの不足: CVSSスコアだけでは、複数の脆弱性が組み合わさることで生じる影響を考慮できません。多数の脆弱性を悪用する大規模で複雑な攻撃経路には、個々のスコアが示す以上のリスクがあります。こうした複合的なリスクを特定して修正するには、攻撃経路分析やペネトレーションテストも必要です。
5. スコアの静的な性質： CVSSスコアの問題は、ある時点の状態しか示さないことです。脅威の状況や組織を取り巻く環境が変化しても、スコアは自動更新されません。この「静的」な性質により、特に急速に変化する脆弱性では、評価が実態に合わなくなることがあります。
6. 多様な環境での優先順位付けに関する指針の不足：CVSSだけでは、規制要件や運用要件が異なる環境に適した優先順位を判断できません。たとえば、金融業界ではコンプライアンス上、特定の脆弱性を直ちに修正する必要があっても、他業界では重要度が低い場合があります。コンプライアンスと運用上の優先事項を適切に反映するには、CVSSに業界固有のリスク要因を組み合わせる必要があります。

Common Vulnerability Scoring System（CVSS）のベストプラクティス

CVSSのベストプラクティスを実践することで、限界に対処しながら、その有用性を最大限に引き出せます。一貫した方法で適用すれば、セキュリティチームは重要な脆弱性に集中し、適切に対処できます。

CVSSのベストプラクティスをいくつか紹介します。

1. CVSSスコアと脅威インテリジェンスの統合： CVSSスコアに最新の脅威インテリジェンスを組み合わせることで、脆弱性をより的確に把握し、実際のリスクを評価できます。攻撃の傾向や活発な脅威なども考慮できるため、変化に対応した動的な脆弱性管理につながります。
2. 環境評価基準の活用： 環境評価基準を活用すると、組織固有の状況に合わせてスコアを調整できます。汎用的なスコアと組織固有のリスク管理との隔たりを埋め、限られたリソースを最も効果の高い対策に投入できます。
3. CVSSスコアの頻繁な更新： 脆弱性の状況が変わるため、使用するCVSSスコアも継続的に更新する必要があります。現状評価基準を用いれば、悪用可能性やパッチの提供状況をスコアに反映できます。これにより、脆弱性を取り巻く状況の変化に合わせて修正方針を調整できます。
4. 資産の重要度に基づく優先順位付け： 対策を策定する際は、CVSSに加えて資産の重要度を考慮することで、優先すべきリスクが明確になります。CVSSスコアと資産の価値や重要度を照らし合わせれば、悪用された場合の影響が大きい脆弱性に集中できます。その結果、リスクの高い資産を優先し、最も保護が必要な領域に対策を講じられます。
5. セキュリティ部門間の連携： リスク管理やインシデント対応サービスなど、異なるセキュリティ部門がスコアの意味を共同で解釈することで、脆弱性管理の方針を統一できます。部門横断のチームは、CVSSスコアを差し迫った脅威の評価と長期的な戦略立案の両方に活用します。これにより、セキュリティ体制の強化に向けた部門間の取り組みが揃います。
6. CVSSと修正期限の組み合わせ： CVSSスコアに基づいて修正期限を設定すれば、対応を体系化し、遅延を防げます。スコアごとに対応時間を定めることで、脆弱性を予測可能かつ効率的に修正できます。この体系的な方法は、セキュリティチームの計画的なリソース配分と責任の明確化にも役立ちます。

CVSS活用の実例

実際の事例を見ると、CVSSが企業にどう役立つかを具体的に理解できます。以下に、広く知られる脆弱性とそのCVSSスコア、組織への影響を示します。

1. Heartbleed (CVE-2014-0160)： Heartbleed は、OpenSSL暗号化ソフトウェアライブラリに存在する脆弱性で、CVSS基本スコアは7.5です。この脆弱性により、攻撃者はハートビート機能を悪用し、影響を受けたサーバーのメモリから秘密鍵やユーザー認証情報などの機密データを直接読み取ることが可能になりました。この高いスコアは機密性への影響の大きさを示しており、組織は迅速なパッチ適用を優先する必要がありました。この脆弱性は多くのウェブサイトに影響を及ぼし、業界全体でセキュリティ対策と意識の向上を強く促しました。大規模なデータ侵害や個人情報の盗難にもつながる可能性があり、対処が求められました。
2. Windows SMBのリモートコード実行の脆弱性 (CVE-2017-0144)： この脆弱性のCVSSスコアは8.8で「高」と評価されました Windowsシステム内でのリモートコード実行を可能にしたためです。実際、WannaCryランサムウェアは、この攻撃ツールを使って世界中の数十万台のコンピューターに被害をもたらしました。このツールは、MicrosoftによるServer Message Block（SMB）の実装に存在する脆弱性を悪用しました。この脆弱性により、攻撃者は認証なしでシステムにアクセスし、任意のコードを実行できました。このスコアは、早急なパッチ適用とシステム更新の必要性を明確に示し、サイバー犯罪者がソフトウェアやシステムの同様の脆弱性をいかに迅速に悪用するかを浮き彫りにしました。今後こうした悪用を防ぐため、さらに強固なセキュリティ対策が必要です。
3. Shellshock (CVE-2014-6271)： Shellshock は、CVSSスコア9.8で重大と評価されたBashシェルの脆弱性です。攻撃者は環境変数を利用し、Unix系システム上で任意のコマンドを実行できました。多くのデバイスが危険にさらされたため、影響は広範囲に及び、世界中のシステム管理者が緊急対応に追われました。リモートからの侵入口には認証がなく、多くの侵入口でシステムによる制御もほとんどありませんでした。完全性と機密性が損なわれるリスクは非常に高いものでした。組織は再発防止に向けた広範なセキュリティ対策とともに、応急措置を講じざるを得ませんでした。
4. Log4Shell (CVE-2021-44228)： Log4Shell は、Log4jロギングライブラリの弱点に起因する、CVSSスコア10の重大な脆弱性です。細工されたログメッセージを受信すると、このライブラリを実装したサーバー上で攻撃者が任意のコードを実行できるようになります。この脆弱性は数千のパッケージに含まれる多数のアプリケーションに影響し、各分野で大規模な緊急パッチ適用が必要になりました。組織は悪用からシステムを守るため、極度のプレッシャーの下で対応を迫られました。パッチを適用しなければ、深刻なデータ侵害や業務の中断につながるおそれがありました。この出来事は、ソフトウェアライブラリを最新の状態に保ち、こうした脆弱性を常に警戒する必要性を浮き彫りにしました。
5. Spectre and Meltdown (CVE-2017-5754)： Spectre and Meltdownは、データのプライバシーとシステムの完全性に深刻な影響を及ぼすため、CVSSで5.6と評価されたマイクロプロセッサの脆弱性です。CPUのアーキテクチャに存在するこうした欠陥により、攻撃者は複数のアプリケーションがメモリに保持する情報にアクセスできます。対処にはソフトウェアのパッチとハードウェアレベルでのアーキテクチャ変更の両方が必要で、世界中の組織にとって困難な課題となりました。これを機にハードウェアセキュリティの研究が進み、コンピューティング技術における新たな脅威に伴うリスクを軽減するための先手を打つ対策も進展しました。

AIを活用したサイバーセキュリティ

リアルタイムの検知、マシンスピードのレスポンス、デジタル環境全体の可視化により、セキュリティ態勢を強化します。

デモを見る

まとめ

結論として、CVSSは多様なシステムの脆弱性を評価・管理するための標準となっています。基本評価基準、現状評価基準、環境評価基準を適用することで、組織は一貫した手法で脆弱性を管理できます。この体系的なアプローチにより、優先順位付けとリソース配分を適切に行い、十分な情報に基づく意思決定と脆弱性の効果的な管理を実現します。CVSSには限界もありますが、脅威インテリジェンスと資産の重要度を組み合わせることで、影響を最小限に抑えながらセキュリティ態勢の改善とコンプライアンス要件への対応に役立つ基本的なツールとなります。