脆弱性対応 | SQAT®.jp

CVSSスコアの正しい使い方 ―脆弱性対応の判断にどう活かすべきか―アイキャッチ画像

脆弱性対応を検討する際、多くの担当者が参考にする指標が CVSSスコアです。しかし、CVSSは正しく理解して使わなければ、かえって判断ミスを招いてしまう原因になります。本記事では、CVSSスコアの基本的な考え方と、企業の脆弱性対応判断にどう活かすべきかを整理します。

CVSSスコアとは何か

CVSS（Common Vulnerability Scoring System）は、脆弱性の深刻度を数値で表すための共通指標です。多くの場合、0.0〜10.0のスコアで示され、数値が高いほど深刻とされます。

【深刻度（例）】

低（Low）
中（Medium）
高（High）
緊急（Critical）

重要なのは、CVSSは「脆弱性そのものの性質」を評価する指標であり、個々の企業環境を前提としていないという点です。本来の目的は、脆弱性の危険度を関係者間で共通認識として共有することにあります。

CVSSスコアが「分かりやすいが危険」な理由

CVSSは便利な指標ですが、これだけで対応の優先順位を決めるのは危険です。なぜならCVSSは自社環境を前提にしておらず、その脆弱性が実際に攻撃されるかどうかを保証していないためです。同じCVSSスコアでも、「インターネットから誰でもアクセスできるWebサービス」と「内部ネットワークでしか使われていない管理系システム」では、実際のリスクは大きく異なります。CVSSは「脆弱性そのものの性質」を示すものであり、「自社にとっての危険度」そのものではないことを理解しておく必要があります。

CVSSを構成する3つの要素

CVSSは主に次の3要素で構成されています。

ベーススコア
脆弱性が持つ本質的な深刻度を表します。多くの脆弱性情報で表示されるのがこのスコアです。
Temporalスコア
攻撃コード（PoC）の公開状況や対策情報の有無など、時間とともに変化する要素を反映します。
Environmentalスコア
実際の利用環境や影響度を考慮したスコアです。企業の判断に最も近いのはこの要素ですが、実際には十分に使われていないことが多いのが実情です。

CVSSスコアだけで判断してはいけない理由

CVSSスコアが高くても、必ずしも「今すぐ対応すべき」とは限りません。例えば、内部ネットワーク限定で利用されている、認証が必須で、悪用難易度が高い、該当機能が実際には使われていない、などの場合、実際のリスクは限定的です。逆に、CVSSスコアが中程度でも、「インターネットから直接アクセス可能」「既に攻撃事例が出ている」「業務停止に直結する」といったケースでは、優先度は高くなります。

脆弱性対応判断におけるCVSSの正しい位置づけ

CVSSスコアは、次のように使うのが現実的です。

候補の洗い出し：スコアが高い脆弱性を把握する
自社環境への当てはめ：実際の優先順位は「利用状況 × 公開範囲 × 業務影響」で決める
対応方法の検討：即時対応か、回避策か、計画対応かを判断

CVSSが高い脆弱性は、「詳細に確認すべき候補」として扱うのが適切です。

CVSSスコアを見るときのチェックポイント

実務では、CVSSスコアに加えて以下を確認します。これらを組み合わせることで、「今すぐ対応すべきか」「計画対応でよいか」の判断材料が見えてきます。

攻撃条件は現実的か（認証不要／公開範囲）
攻撃コード（PoC）は出回っているか
悪用された場合の影響はどこまで及ぶか
一時的な回避策でリスクを下げられるか

CVSSとあわせて確認すべき情報

CVSSだけでなく、次の情報もあわせて確認することが重要です。

実際の攻撃事例や観測情報
ベンダーのアドバイザリ内容
自社システム構成・利用実態
業務影響や復旧にかかるコスト

これらを総合的に見ることで、自社にとっての“本当の優先度”が見えてきます。

本記事は、脆弱性対応全体の考え方を整理した
「脆弱性対応の優先順位と判断基準｜すべてを今すぐ直す必要はあるのか？」
の中で、CVSSという判断材料を深掘りした位置づけです。 CVSSはあくまで道具の一つであり、最終判断は全体像を踏まえて行う必要があります。

まとめ：CVSSは「判断を助ける指標」として使う

CVSSスコアは非常に便利ですが、万能ではありません。「CVSSは優先順位判断の補助として使い、スコアだけで判断を出さない」「自社環境を考慮する」「攻撃されやすさ × 影響度」で判断する」―この考え方を持つことで、脆弱性対応の精度は大きく向上します。

脆弱性対応全体の判断基準については、
「脆弱性対応の優先順位と判断基準―限られたリソースでリスクを下げる考え方」 の記事で詳しく解説しています。

次の記事は…
「緊急パッチ適用の判断基準：業務影響を抑えるにはどうすべきか」

Security NEWS TOPに戻る
バックナンバー TOPに戻る

年二回発行されるセキュリティトレンドの詳細レポート。BBSecで行われた診断の統計データも掲載。

サービスに関する疑問や質問はこちらからお気軽にお問合せください。

Security NEWS TOPに戻る
バックナンバー TOPに戻る

「脆弱性対応の優先順位と判断基準―限られたリソースでリスクを下げる考え方」アイキャッチ画像

脆弱性情報は日々公開されており、セキュリティ担当者は常に、何を優先して対応すべきかという判断を求められます。しかし、すべての脆弱性に即座に対応することは、現実的にもリソース的にも困難です。重要なのは、脆弱性の数に振り回されるのではなく、どこを優先すべきかを合理的に判断することです。本記事では、企業が脆弱性対応の優先順位を決めるための考え方と、実務で使える判断基準を整理します。

なぜ脆弱性対応の「優先順位」が重要なのか

ソフトウェアやシステムの脆弱性は、日々新しく公開されています。すべての脆弱性に即座に対応できれば理想的ですが、現実には人員・時間・業務影響の制約があり、全件即対応は困難です。このとき重要になるのが、どれから対応するか、という優先順位の判断です。優先順位を誤ると、次のような事態が起こりがちです。

実際に攻撃されやすい脆弱性を後回しにしてしまう
影響の小さいものに工数を取られ、本当に危険な対応が遅れる
パッチ適用による業務影響ばかりが増える

脆弱性対応は数をこなす作業ではありません。限られたリソースでリスクを下げるための“判断”が重要なのです。

なぜ脆弱性対応の判断はここまで難しいのか

脆弱性対応の判断が難しい理由は、単に技術的な問題だけではありません。多くの企業では、脆弱性情報の量が増え続ける一方で、対応に使える時間や人員は限られています。さらに、セキュリティ担当者は「万が一事故が起きたら責任を問われる」という心理的プレッシャーを受けやすく、結果として“安全側に倒しすぎる判断”をしてしまうことも少なくありません。その結果、本来は様子見でよい脆弱性に工数を割き、本当に危険なものへの対応が後回しになるケースもみられます。

脆弱性対応でよくある判断ミス

実務の現場では、次のような判断ミスがよく見られます。

CVEが公開された＝すぐ全環境に適用する
CVSSスコアが高い＝最優先と決めつける
影響範囲を確認せずにパッチを適用して障害を起こす
「忙しいから後で対応」が常態化する

これらは一見、真面目な対応にみえますが、実際にはリスク低減につながっていないケースも少なくありません。大切なのは、ルールどおり動くことではなく、自社にとって本当に危険なものは何かを見極めることです。

脆弱性対応で実際に起きがちな判断ミスの例

実際の現場では、次のような判断ミスがよく見られます。例えば、「CVSSスコアが高い」という理由だけで、業務時間中に十分な検証を行わずパッチを適用し、結果として業務システムが停止してしまうケースです。この場合、セキュリティ事故は防げたとしても、別の重大な業務影響を引き起こしてしまいます。一方で、「内部システムだから安全」と判断し、外部から到達可能な経路を見落としたまま脆弱性を放置し、後から攻撃を受けるケースもあります。これらに共通するのは、脆弱性そのものではなく「判断プロセス」に問題がある点です。

脆弱性対応の優先順位を決める基本的な考え方

技術的深刻度だけでは判断できない

脆弱性情報をみると、まず目に入るのがCVSS(Common Vulnerability Scoring System)ベーススコアです。しかし、CVSSはあくまで技術的な深刻度を数値化した指標であり、そのまま自社のリスクを表すものではありません。同じCVSSスコアでも、「インターネットから誰でもアクセスできるシステム」や「内部ネットワークでしか使われていないシステム」では、実際のリスクは大きく異なります。CVSSは判断材料の一つであり、絶対的な基準ではない、という前提を押さえることが重要です。

優先順位は「攻撃されやすさ × 影響度」で考える

優先順位を決める際は、次の2点を掛け合わせて考えることが重要です。

攻撃されやすさ

外部公開されているか
認証が必要か
実際に攻撃コード（Poc（Proof of Concept）：概念実証）が出回っているか

影響度

業務停止の影響はどれくらいか
顧客や取引先への影響はあるか
情報漏洩につながる可能性はあるか

この視点を持つことで、実際に危険な脆弱性がみえてきます。

企業が確認すべき4つの判断基準（チェックリスト）

実務では、次の4点をチェックリストとして活用すると対応の優先順位はかなり整理されるでしょう。

インターネットから到達可能か
外部公開されている場合、攻撃リスクは一気に高まります
実際に利用されている機能か
使われていない機能の脆弱性は、リスクが低い場合があります
既に攻撃事例・PoCが存在するか
実証コードや攻撃事例が出ているものは、優先度が高まります
代替策（回避策・設定変更）があるか
一時的に無効化・制限できる場合、緊急度を下げられることがあります

これらを整理することで、「今すぐ対応すべきか」「計画的に対応すべきか」を判断できます。

CVSSスコアはどう使うべきか

CVSSスコアは脆弱性対応の参考になりますが、スコアだけで優先順位を決めるべきではありません。ベーススコアは共通指標であり、個々の環境を考慮していないためです。重要なのは、自社環境に合わせてリスクを評価することです。CVSSは「判断材料の一つ」として使い、実際の利用状況と組み合わせて評価する必要があります。

CVSSを具体的にどのように読み取り、優先順位判断に活かすべきかについては、以下の記事で詳しく解説しています。
「CVSSスコアの正しい使い方―脆弱性対応の判断にどう活かすべきか」

緊急対応が必要なケース／様子見でよいケース

緊急パッチ対応が必要なケース

外部公開されており、認証なしで悪用可能
すでに攻撃が観測されている
ンサムウェアなど深刻な被害につながる可能性が高い

様子見が許容されるケース

内部システム限定で利用されている
使用されていない機能に関する脆弱性
一時的な回避策でリスクを抑えられる

特に悩みやすいのが、緊急パッチをどこまで適用すべきか、という点です。業務影響とのバランスをどう考えるかについては、以下の記事で詳しく整理しています。
「緊急パッチはどこまで適用すべきか―業務影響を抑える判断基準」

脆弱性対応の判断を属人化させないために

脆弱性対応の判断は、特定の担当者の経験や勘に依存しがちです。しかしこの状態が続くと、担当者の不在時に判断が止まったり、対応方針がぶれたりする原因になります。判断を属人化させないためには、今回紹介したような判断基準を文書化し、関係者間で共有することが重要です。また、定期的に判断結果を振り返り、なぜこの対応を選んだのかを言語化することも判断精度の向上につながります。セキュリティはツールだけでなく、判断プロセスそのものを整備することが重要です。

脆弱性対応を継続的に回すための運用ポイント

脆弱性対応は一度きりではなく、継続的な運用が重要です。情報収集、資産管理、定期的な棚卸しを仕組み化し、属人化を防ぐことで、判断の精度とスピードが向上します。

自社判断が難しい場合の考え方

次のようなケースでは、判断が難しくなりがちです。

システム構成が複雑
業務影響の見積もりができない
攻撃リスクと業務影響のバランスに迷う

このような場合、第三者の視点で整理することが有効です。定期的なセキュリティ診断の実施や評価を受けることは、自社のリスクをすべて解消するため、ではなく、判断材料を増やすためのものと考えるとよいでしょう。

まとめ―脆弱性対応で迷ったときの判断フロー

脆弱性対応では、すべてを今すぐ直す必要はありません。重要なのは、「どれが自社にとって本当に危険か」を見極めることです。

技術情報だけで判断しない
攻撃されやすさと影響度を確認する
判断に迷ったらチェックリストに立ち返る

この考え方を持つことで、脆弱性対応はより現実的で効果的なものになります。

「CVSSスコアの正しい使い方―脆弱性対応の判断にどう活かすべきか」へ続く

【関連記事】

「脆弱性診断は受けたけれど～脆弱性管理入門」CVSSとSSVC
「脆弱性評価の新しい指標、LEV」

サイバーインシデント緊急対応

セキュリティインシデントの再発防止や体制強化を確実に行うには、専門家の支援を受けることも有効です。BBSecでは緊急対応支援サービスをご提供しています。突然の大規模攻撃や情報漏洩の懸念等、緊急事態もしくはその可能性が発生した場合は、BBSecにご相談ください。セキュリティのスペシャリストが、御社システムの状況把握、防御、そして事後対策をトータルにサポートさせていただきます。