解説

CVSS（Common Vulnerability Scoring System、共通脆弱性評価システム）は、情報システムの脆弱性の深刻度を、ベンダや製品に依存しない共通の基準で定量的に評価するための仕組みです。CVSSは3つの評価基準から構成されます。基本評価基準（Base Metrics）は、脆弱性そのものの特性（攻撃の難易度や影響範囲など）を評価する、時間や環境によって変化しない基準です。現状評価基準（Temporal Metrics）は、攻撃コードの出現状況や対策の有無など、時間とともに変化する要素を評価する基準です。環境評価基準（Environmental Metrics）は、その脆弱性が利用環境においてどれだけ影響するかという、組織ごとの環境に応じた基準です。選択肢aのCVSSが、この3つの基準で脆弱性の深刻度を評価するものとして正解です。他の選択肢を確認すると、ISMSは情報セキュリティマネジメントシステム、PCI DSSはクレジットカード業界のセキュリティ基準、PMSは個人情報保護マネジメントシステムであり、いずれも脆弱性の深刻度を3基準で評価するCVSSとは目的が異なります。脆弱性の深刻度を共通尺度でスコア化するのがCVSSである、という点を押さえましょう。

なぜ他の選択肢は違うのか

選択肢 イ

ISMS（Information Security Management System、情報セキュリティマネジメントシステム）は、組織が情報資産を守るための管理の仕組みです。PDCAサイクルで情報セキュリティを運用・改善する枠組みであり、脆弱性の深刻度を3つの基準で評価するCVSSとは目的が異なります。

選択肢 ウ

PCI DSS（Payment Card Industry Data Security Standard）は、クレジットカード会員データを安全に取り扱うための、カード業界のセキュリティ基準です。カード情報保護のための要件を定めるものであり、脆弱性の深刻度を評価するCVSSとは目的が異なります。クレジットカード会員データを安全に取り扱うためのカード業界のセキュリティ基準であり、脆弱性の深刻度を3つの基準で評価するCVSSとは目的がまったく異なります。

選択肢 エ

PMS（Personal information protection Management System、個人情報保護マネジメントシステム）は、組織が個人情報を適切に管理するための仕組みで、JIS Q 15001に基づきます。個人情報保護の管理の枠組みであり、脆弱性の深刻度を3基準で評価するCVSSとは目的が異なります。

解くときのポイント

CVSS＝脆弱性の深刻度を共通尺度でスコア化。3基準＝基本評価基準（脆弱性固有・不変）、現状評価基準（攻撃コードや対策で変化）、環境評価基準（利用環境の影響）。ISMS・PCI DSS・PMS（管理の枠組み/基準）とは目的が異なる。