脆弱性評価システム「CVSS v2」に移行 - 情報処理推進機構

情報処理推進機構は、ソフトウェア脆弱性の深刻度評価を「CVSS v2」へ移行した。

同システムは、FIRSTが推進する脆弱性評価システムで、基準を設け、攻撃の内容や影響などから数値を算出し、利用者やベンダーが脆弱性について定量的に比較できる。ベンダーに依存しないことから広く利用されており、IPAでも2月より導入している。

今回導入となるv2は、2007年6月に公開されているもので、評価内容が増加しており、より細分化した評価が行えるようになった。また従来のシステムでは、分布の中心が低い値となってしまう問題が指摘されていたが、同バージョンでは脆弱性の深刻度の中心に発生件数の中心が分布するよう算出方法など改良が加えられている。