CVSSは、脆弱性の深刻さを共通の物差しで数値にする仕組みです。よくある誤解は「点数が高いものから直せばよい」。実際の設問で問われるのは点数と対応順は別物で、自組織の事情をどこで足すかという点です。
先に押さえる
数値は3つの層でできています。基本＝その脆弱性そのものの性質（誰でも同じ値になる）、現状＝時間とともに変わる事情（攻撃コードが出回ったか、修正が出たか）、環境＝使う側の事情（その機器が外部に公開されているか、止まると何が困るか）。公表されている点数は基本の値であることが多く、環境の分は自分で足すものです。
3つの層と、誰が決めるか
基本（変わらない）
- 攻撃にどこから届くか（ネットワーク越しか、手元か）
- 攻撃の難しさ、必要な権限、利用者の関与
- 成立したときの機密性・完全性・可用性への影響
現状（時間で動く）
- 実際に使える攻撃コードが出回っているか
- 修正プログラムが出ているか、回避策があるか
環境（自組織の事情）
- その資産は外部に公開されているか
- 止まると何が困るか（業務への影響）
- 手前に別の防御があり届きにくいか
数値に入らないもの
- 直すのにどれだけ時間と人手が要るか
- 修正による影響範囲と再試験の負荷
- 契約や公表の期限
つまずきポイント
「点数が高い＝先に直す」ではありません。外部に公開されておらず、手前で別の防御が効いている高得点の脆弱性より、公開されていて攻撃コードが出回っている中程度の方が先です。設問はまさにこの逆転を突いてきます。点数を根拠にする答案ではなく、公開範囲・悪用の実態・資産の重要度を根拠にする答案が求められます。
優先度の組み立て方
1点数だけでは順番が決まらない
公表された深刻度基本の値。出発点にはなる
↓自組織の事情を足す
公開範囲・資産の重要度・悪用の実態外から届くか／止まると困るか／今狙われているか
↓ここで初めて順番になる
対応の優先度すぐ直す／計画的に直す／回避策で当面しのぐ
見抜きどころ
問題文には必ず資産の一覧と、外部公開かどうかが書かれています。そこが答えの材料です。「CVSSの値が高いから」ではなく、「外部に公開されており、攻撃コードが出回っているため」のように問題文の記述で理由を作ると、そのまま得点になります。数値の計算方法そのものが問われることは、午後ではほとんどありません。
直すまでの間をどうするか
修正がすぐに当てられない場合は、届かなくする方向で時間を稼ぎます。公開範囲を狭める、該当機能を止める、手前の装置で該当の要求を遮断する——いずれも暫定対策で、恒久対策は修正の適用です。設問ではこの2つを分けて書けているかが見られます。