定義
CVSS（Common Vulnerability Scoring System）はソフトウェアの脆弱性の深刻度を0.0〜10.0のスコアで標準化する業界指標で、FIRST（Forum of Incident Response and Security Teams）が管理しています（現在のバージョンは4.0）。スコアは基本値（脆弱性そのものの特性：攻撃ベクタ・複雑性・必要な権限・ユーザー操作の要否・影響範囲）・現状値（パッチの有無・悪用コードの公開状況）・環境値（自組織の状況に応じた調整）の3要素で構成されます。スコアは9.0以上が「緊急（Critical）」・7.0〜8.9が「高（High）」・4.0〜6.9が「中（Medium）」・0.1〜3.9が「低（Low）」に分類されます。CVSSスコアだけで優先度を決めると現実のリスクと乖離することがあり、CISA KEV（実際に悪用が確認されたか）とEPSS（今後30日以内に悪用される確率）を組み合わせた三角測量で優先度を判断するアプローチが推奨されています。
関連用語
CVSSが登場する記事・比較
よくある質問
CVSSとは？
脆弱性の深刻度を0〜10のスコアで表す業界標準指標。基本値・現状値・環境値の3つのスコアで構成。9以上が「緊急（Critical）」でパッチ適用が最優先となる。
CVEとCVSSの違いは？
CVEは脆弱性を共通の番号で識別し、CVSSは技術的な深刻度を評価する。番号があること、点数が高いこと、自社が影響を受けることは別の判断。公式の対象製品・版を照合し、CVSSの版・評価元・ベクター、悪用情報、公開範囲と業務影響をそろえて対応を決める。
同じカテゴリの用語（フレームワーク）
利用者のアクセス権が現在も必要で妥当かを、管理者や業務オーナーが定期的に確認・承認するプロセス。…
アプリ、グループ、サイトなど複数の権限を業務単位でまとめ、申請・承認・期限付きで付与する単位。…
既存のアクセス権が現在も必要かを、所有者や上長が定期的に再確認するプロセス。権限棚卸しの実務手法の一つ。…
ユーザー、グループ、管理者、外部共有、OAuthアプリなどのアクセス権が現在も妥当かを定期的に確認する活動。…
AIシステムの安全性、悪用耐性、プロンプト耐性、データ漏えいリスクを攻撃者視点で検証する評価活動。…
資産が事業やセキュリティに与える重要度。脆弱性対応、監視、復旧順序の優先度判断に使う。…