CVSS vs SSVC：脆弱性評価方法の比較

脆弱性評価は、セキュリティリスクを特定し、適切な対応策を講じるための重要なプロセスです。
この記事では、代表的な脆弱性評価手法であるCVSS（Common Vulnerability Scoring System）とSSVC（Stakeholder Specific Vulnerability Categorization）について、その特徴と違いを詳しく解説します。

---

CVSS（Common Vunerability Scoring System）

CVSSの概要
CVSSは、脆弱性の深刻度を評価するための標準化されたフレームワークです。
共通のメトリクスを用いて、脆弱性の影響度をスコアで表します。

特徴
・ベーススコアは、固有の特性に基づく脆弱性の基本的な深刻度
・一時スコアは、ベーススコアに影響を与える一時的な要因
・環境スコアは、特定のIT環境における脆弱性の影響度

CVSSの利点と欠点
〇利点
・一貫性と透明性のある評価
・広く採用されている標準
×欠点
・定量的なスコアに依存しがち
・環境固有のリスクを完全には反映しにくい

SSVC（Stakeholder-Specific Vulnerability Categorization）

SSVCの概要
SSVCは、脆弱性の評価を定性的に行い、ステークホルダーの視点を重視するフレームワークです。
脆弱性の優先順位を決定するための意思決定ツリーを使用します。

特徴
・意思決定ツリーは、脆弱性の状況に応じた具体的なアクションを決定するためのツリー構造
・ステークホルダーの視点は、企業や組織の特定のニーズやリスク許容度を反映

SSVCの利点と欠点
〇利点
・柔軟で環境に特化した評価
・定性的アプローチで状況をより正確に反映
×欠点
・導入と運用が複雑
・一貫性を保つのが難しい場合がある