第4章 · 脆弱性評価とリスク管理·v1.0.0·更新 2026/7/17·読了目安 約13分
変更要約: 初版
4.2脅威インテリジェンス
この節の要点
既知の弱点を共通の名前で参照するCVEと、その深刻度を数値化するCVSS、弱点を集めた脆弱性データベースの用途と限界、そしてセキュリティレポート・ニュース・購読サービス・集合知といった情報源を、「今どの脅威に注目すべきか」を判断する材料として集め・活かす基礎を学びます。
脆弱性を見つけたら、次は「それは世の中でどれだけ深刻で、どう対処すべきか」を知る必要があります。同じ弱点を人によって別の呼び方で語っていては話が通じません。そこで役立つのが、既知の弱点に共通の名前を付けるCVEと、その深刻度を共通の物差しで数値化するCVSSです。この節では、これらを収める脆弱性データベースの使いどころと限界、さらにベンダーのセキュリティレポート・ニュース・購読サービス・コミュニティの集合知という情報源を、「今どの脅威に注目すべきか」を判断する材料としてどう集め活かすかを学びます。
4.2.1CVEとCVSS・脆弱性データベース
- CVE（Common Vulnerabilities and Exposures）＝公開された個々の脆弱性に付けられる共通の識別子（例：
CVE-2021-44228）。同じ弱点を世界中が同じ番号で参照できるので、ベンダー・ニュース・スキャナの情報を突き合わせやすくなる。CVEは「名前（識別子）」であって深刻度そのものではない。 - CVSS（Common Vulnerability Scoring System）＝脆弱性の深刻度を0.0〜10.0の数値で表す共通の採点方式。おおむね 低/中/高/緊急（Critical）の帯に対応し、どれから直すかの優先順位付けに使う。CVEが「名前」、CVSSが「点数」と覚えると混同しにくい。
- 脆弱性データベース（NVD などの脆弱性DB）＝CVEとCVSS、影響を受ける製品・バージョン、対処法をまとめた台帳。用途は「その弱点が既知か、深刻度は、パッチはあるか」を素早く調べること。限界は、まだ登録されていない未知（ゼロデイ）は載らず、情報が古い/不完全なこともある点。DBは万能ではなく出発点。