IPA、ソフトなどのセキュリティ上の脆弱性深刻度評価を開始

　独立行政法人の情報処理推進機構（IPA）は2月22日、「情報システム等の脆弱性情報の取扱いに関する研究会」の提言を受け、ソフトなどのセキュリティ上の脆弱性の深刻度を、「共通脆弱性評価システム（Common Vulnerability Scoring System：CVSS）」を用いて評価する試行を開始した。

　今回開始された脆弱性の深刻度評価は、製品利用者やシステムインテグレーション事業者の脆弱性関連情報の分析・適用を支援するためのもので、現在、2006年10月以降に公表した脆弱性関連情報約40件について深刻度を公表している。

　CVSSは、国際的な団体「FIRST（Forum of Incident Response and Security Teams）」で適用推進や仕様改善が行われている脆弱性評価システム。情報システムの脆弱性に対するオープンで汎用的な評価手法で、ベンダーに依存しない評価方法を提供する。

　CVSSを用いることにより、脆弱性の深刻度を同一の基準の下で定量的に比較できるようになるほか、ベンダー、セキュリティ専門家、管理者、ユーザーなどの間で、脆弱性に関して共通の枠組みで議論できるようになるという。

　CVSSでは脆弱性を、脆弱性そのものの特性を評価する「基本評価基準（Base Metrics）」、現在の深刻度を評価する「現状評価基準（Temporal Metrics）」、製品利用者の最終的な深刻度を評価する「環境評価基準（Environmental Metrics）」――の3つの基準で評価する。

　基本評価基準と現状評価基準はベンダーや脆弱性を公表する組織が評価する基準、環境評価基準は製品利用者自身が評価する基準となっている。

　今回の試行では、CVSS基本評価基準を用いてCVSS基本値を算出し、深刻度を3つのレベルに分けて公表する。CVSS基本値0.0〜3.9がレベルI（注意）、4.0〜6.9がレベルII（警告）、7.0〜10.0がレベルIII（危険）となっている。