解説

CVSS（Common Vulnerability Scoring System：共通脆弱性評価システム）v3には3つの評価基準があります。①基本評価基準（Base Metrics）：脆弱性そのものの特性を評価。攻撃元区分・攻撃の複雑さ・必要な特権・ユーザー関与・影響範囲・機密性/完全性/可用性への影響を評価。評価結果は変化しない（時間・環境に左右されない固定値）。②現状評価基準（Temporal Metrics）：脆弱性の現在の状況（攻撃コードの出現有無、利用可能な対策のレベル、報告の信頼性）を評価。時間経過とともに変化する値です（選択肢a）。③環境評価基準（Environmental Metrics）：利用者の環境固有の要素（セキュリティ要求レベルの調整、基本評価基準の修正）を評価。製品利用者ごとに異なる値。現状評価基準は「今この瞬間の攻撃可能性・対策状況」を反映するため、パッチが出ると値が変化します。

なぜ他の選択肢は違うのか

選択肢 イ

「脆弱性及び想定される脅威に応じ、製品利用者ごとに評価する」は環境評価基準の特徴です。環境評価基準は利用者の環境（セキュリティ要求・設定）に応じて調整するもので、組織ごとに異なります。

選択肢 ウ

「製品利用者が脆弱性への対応を決めるための評価に用いる」は環境評価基準の目的です。現状評価基準は攻撃コードの存在や対策状況を反映するもので、製品利用者ごとに変わるものではなく時間とともに変化するものです。

選択肢 エ

「評価結果は利用環境によらず同じで、かつ時間の経過によっても変わらない」は基本評価基準の特徴です。基本評価基準は脆弱性固有の特性を評価するため環境・時間に依存しません。現状評価基準は時間とともに変化します。

解くときのポイント

CVSS v3の3基準：①基本評価（脆弱性固有・時間変化なし・環境依存なし）②現状評価（攻撃コード出現・対策状況を反映・時間で変化）③環境評価（利用者の環境固有・組織ごとに異なる）。「時間とともに変化」→現状評価が決め手。