IPA、ソフトなどのセキュリティ上の脆弱性深刻度評価を開始

目黒譲二

2007-02-23 11:29

 独立行政法人の情報処理推進機構(IPA)は2月22日、「情報システム等の脆弱性情報の取扱いに関する研究会」の提言を受け、ソフトなどのセキュリティ上の脆弱性の深刻度を、「共通脆弱性評価システム(Common Vulnerability Scoring System:CVSS)」を用いて評価する試行を開始した。

 今回開始された脆弱性の深刻度評価は、製品利用者やシステムインテグレーション事業者の脆弱性関連情報の分析・適用を支援するためのもので、現在、2006年10月以降に公表した脆弱性関連情報約40件について深刻度を公表している。

 CVSSは、国際的な団体「FIRST(Forum of Incident Response and Security Teams)」で適用推進や仕様改善が行われている脆弱性評価システム。情報システムの脆弱性に対するオープンで汎用的な評価手法で、ベンダーに依存しない評価方法を提供する。

 CVSSを用いることにより、脆弱性の深刻度を同一の基準の下で定量的に比較できるようになるほか、ベンダー、セキュリティ専門家、管理者、ユーザーなどの間で、脆弱性に関して共通の枠組みで議論できるようになるという。

 CVSSでは脆弱性を、脆弱性そのものの特性を評価する「基本評価基準(Base Metrics)」、現在の深刻度を評価する「現状評価基準(Temporal Metrics)」、製品利用者の最終的な深刻度を評価する「環境評価基準(Environmental Metrics)」――の3つの基準で評価する。

 基本評価基準と現状評価基準はベンダーや脆弱性を公表する組織が評価する基準、環境評価基準は製品利用者自身が評価する基準となっている。

 今回の試行では、CVSS基本評価基準を用いてCVSS基本値を算出し、深刻度を3つのレベルに分けて公表する。CVSS基本値0.0〜3.9がレベルI(注意)、4.0〜6.9がレベルII(警告)、7.0〜10.0がレベルIII(危険)となっている。

ZDNET Japan 記事を毎朝メールでまとめ読み(登録無料)

ZDNET Japan クイックポール

自社にとって最大のセキュリティ脅威は何ですか

NEWSLETTERS

エンタープライズ・コンピューティングの最前線を配信

ZDNET Japanは、CIOとITマネージャーを対象に、ビジネス課題の解決とITを活用した新たな価値創造を支援します。
ITビジネス全般については、CNET Japanをご覧ください。

このサイトでは、利用状況の把握や広告配信などのために、Cookieなどを使用してアクセスデータを取得・利用しています。 これ以降ページを遷移した場合、Cookieなどの設定や使用に同意したことになります。
Cookieなどの設定や使用の詳細、オプトアウトについては詳細をご覧ください。
[ 閉じる ]