令和2年度 秋期 プロジェクトマネージャ試験 午前II 問24

• ア: CVSS v2 と CVSS v3.0 は、脆弱性の深刻度の算出方法が同じであり、どちらのバージョンで算出しても同じ値になる。
  誤り。CVSS v2 と v3.0 は算出方法が異なります。特に、v3.0 は v2 に比べて深刻度の分類がより詳細になり、柔軟性が向上しています。

• イ: 脆弱性の深刻度に対するオープンで汎用的な評価手法であり、特定ベンダに依存しない評価方法を提供する。
  正しい。CVSS はオープンでベンダ非依存の評価手法であり、脆弱性の影響を標準的に評価するためのツールとして広く利用されています。

• ウ: 脆弱性の深刻度を 0 から 100 の数値で表す。
  誤り。CVSS のスコアは 0.0 から 10.0 の範囲で表されます。

• エ: 脆弱性を評価する基準は、現状評価基準と環境評価基準の二つである。
  誤り。CVSS では「基本評価基準」「現状評価基準」「環境評価基準」の三つの基準を用いて評価を行います。

答え

イ: 脆弱性の深刻度に対するオープンで汎用的な評価手法であり、特定ベンダに依存しない評価方法を提供する。