3.4セキュリティ技術評価

脆弱性やセキュリティ機能を「なんとなく危険/安全」と感覚で評価するのではなく、共通の尺度で数値化・等級化することで、組織を越えた比較や優先順位付けが可能になります。この節では、脆弱性の深刻度を評価するCVSSと関連する識別子・分類体系、そしてセキュリティ機能そのものの保証レベルを評価するコモンクライテリアを学びます。支援士としては、評価結果（スコアや等級）をどう解釈し、実務的な対応優先度にどう変換するかの判断力が問われます。

3.4.1CVSS（基本値・現状値・環境値）

• CVSS（Common Vulnerability Scoring System）＝脆弱性の深刻度を0.0〜10.0のスコアで表す共通基準。基本値（Base Metrics）＝攻撃元区分・攻撃条件の複雑さ・必要な権限レベル・機密性/完全性/可用性への影響など、脆弱性そのものに固有で時間が経っても変化しにくい要素から算出する。
• 現状値（Temporal Metrics）＝攻撃コードの流通状況・対策（パッチ）の有無・脆弱性情報の信頼性など、時間の経過とともに変化する要素を加味して基本値を補正する。攻撃コードが公開され悪用が広がるほど現状値は上昇する。
• 環境値（Environmental Metrics）＝自組織の環境固有の事情（この脆弱性を持つ資産がどれだけ重要か、他の管理策で緩和されているか等）を反映して最終的な優先度を決める。同じ脆弱性でも、環境値まで踏まえると組織ごとに対応の緊急度が変わりうる。

3.4.2CVE・CWE・JVN

• CVE（Common Vulnerabilities and Exposures）＝個々の脆弱性に一意の識別番号を付与する仕組み（例：CVE-2024-xxxxx）。異なる組織・ツール・レポート間で「同じ脆弱性を指している」ことを明確にする共通言語の役割を果たす。
• CWE（Common Weakness Enumeration）＝個々の脆弱性ではなく、SQLインジェクションやバッファオーバーフローのような脆弱性の「型」（弱点の種類）を分類する共通の辞書。CVEが「この製品のこのバージョンにある具体的な穴」を指すのに対し、CWEは「その穴がどんな一般的な種類の弱点に当たるか」を示す。
• JVN（Japan Vulnerability Notes）＝JPCERT/CCとIPAが共同で運営する、日本国内で使われる製品の脆弱性対策情報を集約・公表するポータル。CVE番号や深刻度（CVSS）とあわせて、日本語で対策情報を確認できる。

あるセキュリティ担当者が、自社が利用するWebアプリケーションフレームワークに関するCVSS基本値9.8（緊急）の脆弱性情報を受け取ったとします。基本値だけを見れば「最優先で今すぐ対応すべき」と判断したくなりますが、支援士としてはここで現状値と環境値まで踏まえた解釈が必要です。まず現状値を確認すると、この脆弱性はまだ実証コード（PoC）が公開されておらず、ベンダーから正式なパッチもリリースされていない段階だったとします——攻撃コードが出回っていない分、現状値は基本値よりやや下がりますが、パッチ未提供という点は緊急性を下げる要素にはなりません。次に環境値を検討します。この脆弱性が影響する機能（ファイルアップロード機能）は、自社システムでは外部からアクセス不可能な内部管理画面でのみ使用しており、かつ既にWAFでその種の攻撃パターンを検知・遮断する設定が入っていることが分かりました。この場合、基本値としては「緊急」でも、環境値まで踏まえると実際にこの脆弱性が悪用される経路は限定的と判断でき、「本日中に全社の全システムを緊急停止して対応」ではなく、「WAFのルールを再確認しつつ、次回定期メンテナンス時にパッチを適用する」という現実的な優先度に落ち着かせることができます。逆にもし同じ脆弱性がインターネットに公開された決済フォームに存在するなら、環境値はむしろ深刻度を押し上げ、即時対応が必要です。このように、CVSSスコアは基本値だけで判断せず、自組織の環境に照らして最終的な対応優先度を決めるのが実務的な判断です。

3.4.3コモンクライテリアとペネトレーションテスト・耐タンパ性

• ISO/IEC 15408（コモンクライテリア）＝IT製品・システムのセキュリティ機能を第三者が評価・認証するための国際標準規格。評価の厳密さ・深さはEAL（評価保証レベル、EAL1〜EAL7）で段階的に示され、数字が大きいほど評価プロセスが厳格（ただし機能そのものの高さを保証するものではない点に注意）。
• JISEC（IT Security Evaluation and Certification Scheme）＝日本国内でISO/IEC 15408に基づく評価・認証を行う制度。政府調達等で、一定のEALを満たす製品が要求されることがある。
• ペネトレーションテスト＝実際の攻撃者の手法を模して、システムへの侵入を試み、悪用可能な脆弱性が現実に存在するかを検証する診断手法。脆弱性診断（既知の脆弱性の網羅的な洗い出し）に対し、ペネトレーションテストは「特定の目標（重要情報の窃取等）を達成できるか」という攻撃シナリオの実証に重点を置く。
• 耐タンパ性＝ICカードやセキュリティモジュールなどのハードウェアが、内部の秘密情報（鍵情報等）を物理的な解析・改造から守る強さを表す性質。耐タンパ性が高いほど、デバイスをこじ開けて内部の鍵を読み取る攻撃への耐性が高い。

3.4.4この節のまとめ

• CVSS＝基本値（不変）→現状値（攻撃コード流通等で時間変化）→環境値（自組織の事情）の3段階で最終的な対応優先度を決める
• CVE＝個々の脆弱性の識別番号、CWE＝脆弱性の型の分類、JVN＝国内向けの脆弱性対策情報ポータル
• EALは評価プロセスの厳密さの指標（機能の強さではない）。ペネトレーションテストは攻撃シナリオの実証、耐タンパ性は物理解析への耐性