IPA、脆弱性の深刻度評価システムを「CVSS v2」へ移行

　独立行政法人情報処理推進機構（IPA）は8月20日、ソフトウェア製品の脆弱性（ソフトウェア等におけるセキュリティ上の弱点）の深刻度評価に採用している共通脆弱性評価システムCVSS（Common Vulnerability Scoring System）を、新バージョンである「CVSS v2」へ移行したと発表した。

　IPAでは、ソフトウェア製品の脆弱性の深刻度評価について、FIRST（Forum of Incident Response and Security Teams）が推進するCVSSを採用している。CVSSは、情報システムの脆弱性に対するオープンで汎用的な評価手法であり、特定のベンダーに依存せず、脆弱性の深刻さを、製品利用者やSI事業者、製品開発者などが、同一の基準の下で定量的に比較できるもの。

　IPAにおいても、届出られた脆弱性についてCVSSによる深刻度評価を行っているが、2007年6月に公開された「CVSS v2」を受け、IPAにおける脆弱性対策情報の公表ページ

　CVSSでは算出される基本値をベースに「レベルI（注意）」「レベルII（警告）」「レベルIII（危険）」の3段階で深刻度をレベル分けする。CVSS v2では、従来のv1で起こっていた、脆弱性そのものの特性を評価するCVSS基本値が特定の値に集中してしまうといった問題が解消され、利用者が脆弱性への対応の緊急度を、より迅速に判断しやすくなっているという。

　CVSS v2の概要については、IPAウェブサイト上の情報を参照のこと。