CVEとCVSSによる脆弱性評価

脆弱性を扱う際には、個々の脆弱性を識別する番号、脆弱性の種類を分類する体系、深刻度を評価する基準の三つを区別して理解する必要がある。CVEは個別の脆弱性を識別する共通の番号であり、CWEは脆弱性の種類を分類した一覧である。CVSSは脆弱性の深刻度を数値で評価する仕組みであり、三つは役割が異なる。

脆弱性の識別子と弱点の分類

CVE（Common Vulnerabilities and Exposures）識別子は、公開されたソフトウェアや製品に含まれる脆弱性を個別に識別するための共通の番号である。JVNなどの脆弱性対策情報ポータルサイトでも、この識別子を用いて製品の脆弱性を特定する。

CVEは、コンピュータのセキュリティ設定項目を識別するものではなく、改ざんされたWebサイトの画像を識別するものでもない。また、セキュリティ製品の種類を示す番号でもない。CVEは、製品に存在する公知の脆弱性を共通の番号で指し示す点に意味がある。

CWE（Common Weakness Enumeration）は、ソフトウェアやハードウェアに見られる脆弱性・弱点の種類を分類した一覧である。JVNなどの脆弱性対策ポータルサイトでも、脆弱性の種類を示す体系としてCWEが採用されている。

CVEが「どの製品のどの脆弱性か」を示すのに対し、CWEは「どのような種類の弱点か」を示す。IoT製品の開発では、製品に組み込まれたWebアプリケーションの脆弱性を、どのCWEに該当するかで整理し、設計段階で防ぐ対策を検討する。

CVSSによる深刻度の評価

CVSSは、脆弱性の深刻度を基本評価基準、現状評価基準、環境評価基準の三つで評価する仕組みである。三つの基準はそれぞれ評価する対象が異なり、組み合わせて最終的な深刻度を把握する。

基本評価基準は、攻撃元区分、攻撃条件の複雑さ、攻撃に必要な特権レベル、機密性・完全性・可用性への影響など、脆弱性そのものの特性を評価する。脆弱性がどこから、どのような条件で攻撃されるかを表すため、評価の出発点となる。

現状評価基準（時間評価基準）は、攻撃される可能性、対策の状況、脆弱性情報の信頼性など、時間の経過とともに変わる要素を反映する。環境評価基準は、利用者のシステムやネットワークの対策状況を反映して深刻度を調整する。基本評価基準とこれら二つは、評価の目的が異なる点に注意が必要である。