「分かりそう」で「分からない」でも「分かった」気になれるIT用語辞典

最初に留意事項です。
「共通脆弱性評価システム」や「CVSS」と言われて「あぁ、アレのことね」と分かる方は最後まで読む必要ありません。
共通脆弱性評価システムの英語表現が「Common Vulnerability Scoring System」です。



共通脆弱性評価システムを「CVSS」と表現することがあります。
この「CVSS」が「Common Vulnerability Scoring System」の省略表現なのです。



※「Common Vulnerability Scoring System」を何となく日本語にすると「共通の脆弱性に点数をつけるシステム」となります。[詳細]

以上が「共通脆弱性評価システム（CVSS）」の意味を知っている人向けの説明です。

「共通脆弱性評価システム（CVSS）って何？美味しいの？」な人は、このまま読み進めてください。
用語の中身について説明します。



それでは、いってみましょう。
まずは予備知識として「IPA」と「脆弱性（ゼイジャクセイ）」について簡単に説明します。
「そんなの説明されなくても知ってるよ！」な人は適当に読み飛ばしてください。

IPAは「日本のIT力を高めるために頑張っている、国の手先っぽい団体」です。
「情報処理技術者試験の事務的なあれやこれやを取り仕切っている団体」と言えばピンと来る人もいるのではないでしょうか。



脆弱性は「セキュリティ上の欠陥」です。
ソフトウェアとかの不具合や弱点、考慮漏れなどの放っておくとヤバいところです。



以上を踏まえて

IPAさんが提供してくれている、脆弱性のヤバさを測る評価方法

が「Common Vulnerability Scoring System」です。



上でも書きましたが、一般的には「共通脆弱性評価システム」や「CVSS」と表現されます。
※本ページでも以降は「共通脆弱性評価システム（CVSS）」と表現します。

例えば、そうですね。
ここにピヨ太君の作ったピヨ太ソフトがあります。



ピヨ子さんの作ったピヨ子ソフトもあります。



ピヨ太ソフトには欠陥（脆弱性）が ありました。



ピヨ子ソフトにも欠陥（脆弱性）が ありました。



ピヨ太君はピヨ太ソフトの欠陥のヤバさを「ヤバイ度：100ピヨ太」と判断しました。



ピヨ子さんはピヨ子ソフトの欠陥のヤバさを「ヤバイ度：500ピヨ子」と判断しました。



さて、ここで問題です。
ピヨ太ソフトの欠陥とピヨ子ソフトの欠陥は、どちらがヤバいでしょうか？

そうですね。
分かりません。

何故なら、判断方法も単位も何もかもが違うからです。
これでは比較できません。



比較するためには共通の基準が必要です。
「10メートル」と「100キログラム」では、どちらが長いか判断できません。
「10メートル」と「100メートル」であれば、どちらが長いか判断できます。
それと同じです。

そこでIPAさんが脆弱性のヤバさを測る評価方法を用意してくれました。
「こんな考え方をして、こんなやり方で、脆弱性に点数をつけてください」な基準を作ってくれたのです。



ピヨ太君は、IPAさんが用意してくれた「脆弱性のヤバさを測る評価方法」に従って、ピヨ太ソフトの欠陥のヤバさに点数をつけました。
その結果、ピヨ太ソフトの欠陥のヤバさは「ヤバイ度：68ヤバいよ」になりました。



ピヨ子さんも、IPAさんが用意してくれた「脆弱性のヤバさを測る評価方法」に従って、ピヨ子ソフトの欠陥のヤバさに点数をつけました。
その結果、ピヨ子ソフトの欠陥のヤバさは「ヤバイ度：12ヤバいよ」になりました。



さて、ここで問題です。
ピヨ太ソフトの欠陥とピヨ子ソフトの欠陥は、どちらがヤバいでしょうか？

そうですね。
ピヨ太ソフトの欠陥です。

ピヨ太ソフトも、ピヨ子ソフトも、IPAさんが用意してくれた「脆弱性のヤバさを測る評価方法」に従って欠陥のヤバさに点数をつけました。
その結果、ピヨ太ソフトの欠陥の方が、ヤバさの点数が高くなりました。
同じ基準で比較して、ピヨ太ソフトの欠陥の方が、点数が高いのです。
だから、ピヨ太ソフトの欠陥の方がヤバいです。



ここまでの話に、おかしいところは、ありませんよね？

このように

共通の基準があれば比較できる

のです。
たとえ、ソフトの種類や欠陥の内容、判断する人が違ったとしても、です。

もう、お分かりですよね。
この話に出てきた、IPAさんが用意してくれた「脆弱性のヤバさを測る評価方法」の呼び名が「共通脆弱性評価システム（CVSS）」です。

IPAさんのホームページには、共通脆弱性評価システム（CVSS）の説明として以下の内容が載っていました。

1. 概要

　CVSS は、情報システムの脆弱性に対するオープンで汎用的な評価手法であり、ベンダーに依存しない共通の評価方法を提供しています。CVSSを用いると、脆弱性の深刻度を同一の基準の下で定量的に比較できるようになります。また、ベンダー、セキュリティ専門家、管理者、ユーザ等の間で、脆弱性に関して共通の言葉で議論できるようになります。

小難しい単語が並んでいますね。
ざっくり訳すと

CVSSは脆弱性の評価手法だよ。（特定の会社とかに依存しないで）みんなで使える共通のやり方だよ。CVSSを使うと（同じ基準を使って測るから）脆弱性のヤバさ同士を比較できるようになるよ。あと、立場とか考え方が違う人たち同士でも（同じ基準を使うから）同じ前提のもとに議論できるようになるよ

といったところでしょうかね。

あとの細かいことはIPAさんのホームページで確認してください。
これを書いている時点では

https://www.ipa.go.jp/security/vuln/scap/cvss.html

に説明が載っています。