CVSSだけでは脆弱性の優先順位付けに不十分な理由

多くの組織はいまだに、CVSSスコアだけで脆弱性の優先順位を決めています。分かりやすく、並べ替えも容易なため理解できますが、それだけでは「何を最初に修正すべきか」を決めるには不十分です。

要旨

CVSS（Common Vulnerability Scoring System）は、脆弱性単体の技術的な深刻度を測るものです。悪用される可能性の高さは測りませんし、すでに実際に悪用されているかも教えてくれません。深刻度だけで判断すると、決して狙われない高スコアの案件を追いかける一方で、実際に悪用されている低スコアの案件を放置してしまいます。

説明可能な優先順位付けには、次の3つの独立したシグナルを組み合わせます。

深刻度 — 影響の大きさ（CVSS）
確率 — 悪用される可能性（EPSS）
実態 — すでに悪用が観測されているか（CISA KEV）

CVSSが測るもの、測らないもの

CVSSは、攻撃経路・攻撃の複雑さ・必要な権限・ユーザー操作・影響度に基づいて0〜10のスコアを算出します。これは「潜在的な深刻度」の標準化された指標として有用です。

しかしCVSSは、以下を捉えません。

エクスプロイトが公開されているか
実際に悪用されているか
対象ソフトウェアが自社環境で到達可能か
既存の緩和策でリスクがすでに低減されているか

自社で公開していないコンポーネントのCVSS 9.8は緊急ではありません。一方、インターネット公開サービスで実際に悪用されているCVSS 6.5は緊急です。

EPSS：悪用の確率

FIRSTが管理するEPSS（Exploit Prediction Scoring System）は、今後30日以内にその脆弱性が実際に悪用される確率を推定します。実悪用データで学習したモデルに基づく0〜1の確率値です。

EPSSはCVSSとは別の問いに答えます。「どれほど深刻か」ではなく「どれほど悪用されそうか」です。EPSSが高くCVSSが中程度の案件は、CVSSが高くEPSSがほぼゼロの案件より優先すべき場合が多いのです。

CISA KEV：確認された悪用

CISAのKnown Exploited Vulnerabilities（KEV）カタログは、実際の悪用が確認された脆弱性を一覧化したものです。米国連邦政府の拘束力のある運用指令（BOD）の対象組織には修正期限が課されますが、このカタログは「攻撃者が実際に使っているもの」を示す根拠として、あらゆる組織に有用です。

KEVに掲載され、かつ自社環境に存在する脆弱性は、CVSSスコアに関わらず即時の対応が妥当です。

深刻度・確率・悪用の違い

シグナル	答える問い	情報源
CVSS	影響はどれほど深刻か	FIRST / NVD
EPSS	悪用される可能性はどれほどか	FIRST
CISA KEV	悪用は確認されているか	CISA

これらは競合ではなく補完関係です。最も緊急なのは、深刻・高確率・確認済みの3つがすべて高い案件です。

実践的な優先順位付けの手順

まず正確な資産インベントリから始める — 見えないものは優先順位を付けられません。
脆弱性を実際に運用するソフトウェア・システムに紐付けます。
各案件にCVSS・EPSS・KEVの情報を付与します。
インターネット露出・到達可能性・資産の重要度・既存の緩和策という環境の文脈を加えます。
単一の数値ではなく、文書化された根拠で順位付けします。

成果物は、「Critical」「High」の各項目にスコアではなく「なぜ」の説明が付いたバックログであるべきです。

ビジネスへの影響

CVSSだけで優先順位を付けると、低確率の案件に修正リソースを費やし、実際に悪用されている脆弱性を放置し、経営層や監査への説明にも苦労します。複数シグナルのモデルは、現実のリスクを低減する対象に注力し、説明可能な証拠を残します。

推奨事項

CVSSは深刻度の入力として維持しつつ、唯一の判断基準にはしない。
EPSSとCISA KEVを脆弱性対応ワークフローに組み込む。
順位付けの前に、資産と露出の文脈で各案件を補強する。
判断根拠を文書化し、監査可能で再現可能にする。

参考情報

FIRST — CVSS: https://www.first.org/cvss/
FIRST — EPSS: https://www.first.org/epss/
CISA — Known Exploited Vulnerabilities Catalog: https://www.cisa.gov/known-exploited-vulnerabilities-catalog
NIST — National Vulnerability Database: https://nvd.nist.gov/