IPA、ソフトなどのセキュリティ上の脆弱性深刻度評価を開始

目黒譲二

2007-02-23 11:29

 独立行政法人の情報処理推進機構(IPA)は2月22日、「情報システム等の脆弱性情報の取扱いに関する研究会」の提言を受け、ソフトなどのセキュリティ上の脆弱性の深刻度を、「共通脆弱性評価システム(Common Vulnerability Scoring System:CVSS)」を用いて評価する試行を開始した。

 今回開始された脆弱性の深刻度評価は、製品利用者やシステムインテグレーション事業者の脆弱性関連情報の分析・適用を支援するためのもので、現在、2006年10月以降に公表した脆弱性関連情報約40件について深刻度を公表している。

 CVSSは、国際的な団体「FIRST(Forum of Incident Response and Security Teams)」で適用推進や仕様改善が行われている脆弱性評価システム。情報システムの脆弱性に対するオープンで汎用的な評価手法で、ベンダーに依存しない評価方法を提供する。

 CVSSを用いることにより、脆弱性の深刻度を同一の基準の下で定量的に比較できるようになるほか、ベンダー、セキュリティ専門家、管理者、ユーザーなどの間で、脆弱性に関して共通の枠組みで議論できるようになるという。

 CVSSでは脆弱性を、脆弱性そのものの特性を評価する「基本評価基準(Base Metrics)」、現在の深刻度を評価する「現状評価基準(Temporal Metrics)」、製品利用者の最終的な深刻度を評価する「環境評価基準(Environmental Metrics)」――の3つの基準で評価する。

 基本評価基準と現状評価基準はベンダーや脆弱性を公表する組織が評価する基準、環境評価基準は製品利用者自身が評価する基準となっている。

 今回の試行では、CVSS基本評価基準を用いてCVSS基本値を算出し、深刻度を3つのレベルに分けて公表する。CVSS基本値0.0〜3.9がレベルI(注意)、4.0〜6.9がレベルII(警告)、7.0〜10.0がレベルIII(危険)となっている。

ZDNET Japan 記事を毎朝メールでまとめ読み(登録無料)

ホワイトペーパー

新着

ランキング

  1. ビジネスアプリケーション

    生成 AI 「Gemini」活用メリット、職種別・役職別のプロンプトも一挙に紹介

  2. セキュリティ

    まずは“交渉術”を磨くこと!情報セキュリティ担当者の使命を果たすための必須事項とは

  3. セキュリティ

    迫るISMS新規格への移行期限--ISO/IEC27001改訂の意味と求められる対応策とは

  4. セキュリティ

    マンガで分かる「クラウド型WAF」の特徴と仕組み、有効活用するポイントも解説

  5. ビジネスアプリケーション

    急速に進むIT運用におけるAI・生成AIの活用--実態調査から見るユーザー企業の課題と将来展望

ZDNET Japan クイックポール

所属する組織のデータ活用状況はどの段階にありますか?

NEWSLETTERS

エンタープライズコンピューティングの最前線を配信

ZDNET Japanは、CIOとITマネージャーを対象に、ビジネス課題の解決とITを活用した新たな価値創造を支援します。
ITビジネス全般については、CNET Japanをご覧ください。

このサイトでは、利用状況の把握や広告配信などのために、Cookieなどを使用してアクセスデータを取得・利用しています。 これ以降ページを遷移した場合、Cookieなどの設定や使用に同意したことになります。
Cookieなどの設定や使用の詳細、オプトアウトについては詳細をご覧ください。
[ 閉じる ]