--- title: "CVSSベースの対応優先順位演習｜脆弱性対応の判断基準を整理【SG試験】" description: "CVSSスコアを使った脆弱性対応の優先順位づけを演習形式で整理します。SG試験で迷いやすい「高スコアでも後回しになる条件」や運用判断の基準を学べます。 試験対策として重要語の定義・具体例・よくある誤解をまとめ、短時間で復習できるように整理しています。" last_modified_at: "2026-05-20" canonical_url: "https://stemtazoo.github.io/sg/cvss-priority-exercise/" section: "sg" --- ## まず結論 - CVSSは**対応優先度を決める重要指標**ですが、スコアだけで最終判断はしません。 - SG試験では、CVSSに加えて**資産重要度・公開有無・悪用可能性・代替策の有無**を見て優先順位を決める考え方が問われます。 - 「高スコア＝常に最優先」と短絡せず、業務影響と攻撃現実性を合わせて判断するのがポイントです。 ## 直感的な説明 CVSSは、病院でいう「重症度スコア」に近い考え方です。 ただし、実際の治療順は、重症度だけでなく「今すぐ命に関わるか」「他患者への影響が大きいか」も見て決めます。 脆弱性対応も同じで、CVSSは軸の1つです。 実務と試験では、**スコア × 業務影響 × 悪用されやすさ**で優先順位を考えます。 ## 定義・仕組み CVSS（Common Vulnerability Scoring System）は、脆弱性の深刻度を共通尺度で表す仕組みです。 ただし、運用上の優先順位は次の観点も加味して決めます。 - 対象資産の重要度（基幹系・公開系・個人情報取扱いなど） - 外部から到達可能か（インターネット公開の有無） - 既知の悪用コードがあるか - 代替策（アクセス制限・機能停止・監視強化）が可能か - パッチ適用時の業務停止リスク ## どんな場面で使う？ - 脆弱性情報を受け取った後の**一次トリアージ** - 限られた保守時間での**適用順序決定** - 管理層への報告時の**説明根拠** - SG試験のケース問題での**最適な対応順序の判断** ## よくある誤解・混同 - 誤解1：CVSSが高いものは常に最優先 → 実際は「公開サーバか」「悪用容易か」「暫定対策が効くか」で順序が変わる。 - 誤解2：CVSSが低いものは後回しでよい → 基幹業務で悪用されると影響が大きく、先に対応すべき場合がある。 - 誤解3：優先順位づけ＝技術者だけの判断 → 業務部門・運用部門と調整し、停止影響も含めた意思決定が必要。 ## 確認問題（SG試験対策） 次のうち、CVSSを用いた脆弱性対応の優先順位づけとして、最も適切なものはどれか。 - ア. CVSS基本値が最も高い脆弱性だけを即時対応し、公開有無や業務影響は考慮しない。 - イ. CVSS基本値に加え、対象サーバの公開有無、業務影響、悪用可能性を踏まえて対応順を決める。 - ウ. CVSS基本値が7.0未満なら、どの資産でも対応不要と判断する。 - エ. CVSSは参考にならないため、現場担当者の経験だけで対応順を決める。
▶ クリックして答えと解説を見る（ここを開く） **正解：イ** ### 解説 - ア：不適切。CVSS単独で判断すると、実被害の大きさを見誤る。 - イ：適切。CVSSを軸にしつつ、公開有無・業務影響・悪用可能性を加味するのが実務的。 - ウ：不適切。閾値だけで機械的に除外すると、重要資産のリスクを見落とす。 - エ：不適切。経験は重要だが、客観指標（CVSS）を併用して説明可能性を確保すべき。 👉 判断ポイント 「CVSSは優先順位づけの土台。最終順序は業務影響と悪用現実性で調整する。」
## まとめ（試験直前用） - CVSSは深刻度の共通尺度だが、優先順位の最終決定はそれだけではない。 - SG試験では、公開有無・重要資産・悪用可能性・暫定対策の有無を併せて見る。 - 選択肢では「スコアだけ」「経験だけ」の極端な判断を避ける。 - 実務に近い選択肢は、複数観点で説明できるものが正解になりやすい。