「共通脆弱性評価システム（CVSS）のみの脆弱性管理は非効率的だ」のワケ

eSecurity Planetは、「Flashpointが公開した報告書のデータや共通脆弱性評価システム（CVSS: Common Vulnerability Scoring System）のスコア値に頼った脆弱性管理システムには問題がある」と指摘する。そのワケとは。

[後藤大地，有限会社オングス]

　eSecurity Planetは記事「CVSS Vulnerability Scores Can Be Misleading: Security Researchers｜eSecurityPlanet」を2022年8月31日（現地時間）に公開した。それによると、Flashpointが公開した報告書「The State of Vulnerability Intelligence: 2022 Midyear Edition」のデータや「共通脆弱（ぜいじゃく）性評価システム」（CVSS: Common Vulnerability Scoring System）、「脆弱性管理システム」には問題があると指摘した。

　共通脆弱性評価システム（CVSS）のスコア値は、セキュリティ脆弱性の深刻度を示す指標として広く採用されている。しかし同記事では、「このスコア値は予防措置として高すぎる値が付けられているものが多く、管理者に対して必要以上の負荷を強いる可能性がある」と指摘している。

記事「CVSS Vulnerability Scores Can BeMisleading: Security Researchers｜eSecurityPlanet」のトップ（出典：eSecurity Planet）

「スコア値10.0」は本当に10.0か？

　共通脆弱性評価システムのスコア値はセキュリティ脆弱性の指針として分かりやすい。この値が9以上であれば深刻度は「緊急（Critical）」であり、「直ちに対処すべきセキュリティ脆弱性」となる。