[ITmedia エンタープライズ] 脆弱性診断の結果をどう読む？ CVSSだけで改修順を決めてはいけない理由

�@CVSS�i���ʐƎ㐫�]���V�X�e���j�͐Ǝ�i�������Ⴍ�j���̋Z�p�I�Ȑ[���x�������W���w�W�ł���A�Ή��̗D��x�𔻒f�����ŏd�v�Ȗڈ��ƂȂ�B�������ACVSS�X�R�A�̍������A���̂܂܎��Ђɂ�����Ή��ً̋}�x���Ӗ�����Ƃ͌���Ȃ��B�Z�p�I�ɂ͐[���ł��O�����瓞�B�ł��Ȃ���肪�������A�P�Ƃł͒��E�჊�X�N�ł��A�ʂ̎�_�Ƒg�ݍ��킳�邱�ƂōU���o�H���`�������肪����B�f�f���ʂ�΍�ւ‚Ȃ���ɂ́A�񍐏��̕]�������Ђ̃V�X�e���\���A�ۗL�f�[�^�A�Ɩ��ւ̉e���Əd�˂ēǂޕK�v������B

�@�{�A�ڂł́A�Z�L�����e�B�T�[�r�X��Ƃ̃u���[�h�o���h�Z�L�����e�B�i�ȉ��ABBSec�j��2026�N1�`6���Ɏ��{����Web�A�v���P�[�V�����Ǝ�i�������Ⴍ�j���f�f�ƃl�b�g���[�N�Ǝ㐫�f�f�ɂ‚��āA�{�A�ڂ̂��߂ɂ܂Ƃ߂��Г��W�v�f�[�^��ǂ݉����B��1��́A���̑O��Ƃ��āA�Ǝ㐫�f�f�Ŋm�F�ł���͈͂ƁA���C�̗D�揇�ʂ����߂邽�߂̃��X�N�]���𐮗�����B

�@�Ǝ㐫�f�f�Ƃ́A��Ƃ�g�D�̃V�X�e���ɑ��݂���Z�L�����e�B��̎�_���A���炩���ߒ�߂��͈͂Ǝ�@�Ŋm�F���錟�����BWeb�A�v���P�[�V�����f�f�ł́A���͒l�̏����A�F�؁A�Z�b�V�����Ǘ��A�A�N�Z�X����A�d�v���̎�舵���Ȃǂ��m�F����B�l�b�g���[�N�f�f�ł́A�O���܂��͓������瓞�B�ł���|�[�g��T�[�r�X�AOS��~�h���E�F�A�̃o�[�W�����A�@��̐ݒ�A�p�b�`�̓K�p�󋵂Ȃǂ���ȑΏۂɂȂ�B

�@�����ʼn������Ă��������̂́A�f�f���ʂ��������_�ɂ������Ԃ́u�X�i�b�v�V���b�g�v�ł��邱�Ƃ��B��肪���o����Ȃ������Ƃ��Ă��A���̌�̈��S����A������U���ւ̑ϐ����ۏ؂����킯�ł͂Ȃ��B�V���ȐƎ㐫�͌p�����Č��\����A�@�\�lj���ݒ�ύX�ɂ���āA�f�f���ɂ͑��݂��Ȃ�������_�������邱�Ƃ�����B������‚̐��񂪐f�f�͈͂��B�ΏۂɊ܂܂�Ȃ�����URL��API�A�����ʃA�J�E���g�AIP�A�h���X�A�l�b�g���[�N��Ԃ́A�f�f���ʂ̑ΏۊO�ƂȂ�B

�@�Ɨ��s���@�l��񏈗����i�@�\�iIPA�j���A���J�A�^�p���Web�T�C�g�ɂ‚��āA�T�[�o��l�b�g���[�N�@��AWeb�A�v���P�[�V������ΏۂƂ��錟����č������I�Ɍp������d�v���������Ă���B�f�f�O�ɑΏێ��Y�ƕύX�ӏ���c�����A�����ǂ��܂Ŋm�F�����̂����L�^���邱�Ƃ��A���ʂ�ǂނ��߂̑O��ƂȂ�B

�����f�f�Ǝ蓮�f�f�͊m�F�ł����肪�قȂ�

�@�Ǝ㐫�f�f�ł́A�c�[���ɂ�鎩���f�f�ƁA�Z�L�����e�B�G���W�j�A�ɂ��蓮�f�f���g��������B�����f�f�́A�����̌����p�^�[���������ǂ��K�p���A���������ŌJ��Ԃ��m�F����p�r�Ɍ����B����A��ʑJ�ڂ◘�p�҂̖����A����̏����Ƃ������Ɩ���̑O������p������́A��^�I�Ȍ��������ł͔��f���ɂ����B

�@OWASP�́uWeb Security Testing Guide�v�iWSTG�j�ł��A�����񐔂̐����A���[�N�t���[�̉I��A�z��O�̃t�@�C���`���A�x�����⌠���Ɋւ�鏈���Ȃǂ��A�r�W�l�X���W�b�N�̌����ΏۂƂ��ċ����Ă���B�������蓮���Ƃ�����ґ���ł͂Ȃ��A�ΏۃV�X�e���̍\���Əd�v�x�ɉ����āA�ԗ�����Č����A�Ɩ������𓥂܂������f��g�ݍ��킹�邱�Ƃ��B

���X�N�]���́u�[���x�v�Ɓu���Ђւ̉e���v�𕪂��čl����

�@�f�f�Ŗ�肪���‚���ƁA���ɕK�v�ɂȂ�̂����X�N�]�����BBBSec�ł́A�U�����ꂽ�ꍇ�̉e���ƁA�U������������”\���𑍍����A���o������5�i�K�̃��X�N���x���ɕ��ނ��Ă���B

BBSec�̃V�X�e���Ǝ㐫�f�f�ŗp���郊�X�N���x����i�o�T�F�u���[�h�o���h�Z�L�����e�B�uSQAT Security Report�v�j

�@���x��5�F�u�ً}�v�́A�U�����̉e�����ɂ߂đ傫���A�U���̎��s���e�ՂȖ�肾�B���x��4�F�u�d��v�́A�e�����傫���A���̒m����Z�p������΍U���ł�������w���B���x��3�F�u���v�ȉ��ł��A�O�����J�̗L���∵���f�[�^�A���p�҂̌����A���̎�_�Ƃ̑g�ݍ��킹�ɂ���Ď��ۂ̑Ή��D��x�͕ς��B

�@CVSS�iCommon Vulnerability Scoring System�j�́A�\�t�g�E�F�A�A�n�[�h�E�F�A�A�t�@�[���E�F�A�̐Ǝ㐫�ɂ‚��āA�Z�p�I�Ȑ[���x�����ʂ̌`���œ`���邽�߂̘g�g�݂��BCVSS v4.0�ɂ́A�Ǝ㐫���̂��̂̓�����\��Base�A���p�󋵂Ȃǎ��ԂƂƂ��ɕω�����v�f������Threat�A���p�‹��ŗL�̏����𔽉f����Environmental�Ȃǂ̎w�W�Q������B

�@CVSS���Ǘ�����č��̔�c���c��FIRST�̌����K�C�h�����L���Ă���ʂ�ACVSS Base Score�͐Ǝ㐫�́u�[���x�v��\�����̂ł���A���ꂾ���őg�D�ŗL�́u���X�N�v���������̂ł͂Ȃ��B�����X�R�A�ł��A�C���^�[�l�b�g���璼�ړ��B�ł����V�X�e���ɑ��݂���ꍇ�ƁA�O�����番�����ꂽ���؊‹��ɑ��݂���ꍇ�Ƃł́A�U���̌������Ǝ��Ƃւ̉e�����قȂ�B

�@�]���āA�f�f�񍐏��̃��X�N���x����CVSS�X�R�A�́A���C�������߂�o���_�Ƃ��Ĉ����ׂ����B���Y�̏d�v�x�A�O������̓��B�”\���A�ۗL����@�����A�U���R�[�h������p�̗L���A�ɘa��̗L���A��~�”\�Ȏ��ԁA���C�ɂ��Ɩ��e�����d�˂Ĕ��f����K�v������B

�����X�N�̏������݂����ł͍U���o�H���c��

�@�ً}���̍��������ɏC��������j�͍����I���B�������A�����X�N�̎w�E�������������݁A���E�჊�X�N���P��I�ɕ��u����΁A�����̎�_���g�ݍ��킳���čU���o�H���`�����邱�Ƃ�����B���I�o�A�s�K�؂Ȑݒ�A�Â��R���|�[�l���g�̗��p�Ȃǂ́A�P�Ƃł͒����ɐN�Q�ւ‚Ȃ���Ȃ��Ă��A�U���҂��U���Ώۂ̓���⎟�̍U����@�̑I���ɗ��p������B

�@������ނ̎w�E�������̃V�X�e���ŌJ��Ԃ����ꍇ�́A�•ʂ̉��C�����łȂ��A�݌v�W���⋤�ʊ�ՁA�J���t���[�����[�N�A���r���[�菇�A�p�b�`�Ǘ��ɋ��ʂ̌������Ȃ������m�F�������B�f�f���ʂ��V�X�e���P�ʂŕ‚����A���f�I�ɏW�v���邱�ƂŁA�g�D�Ƃ��ďC�����ׂ��H����Ǘ����@�������Ă���B

�@�Ǘ��҂�����ׂ��w�W���A���o���������ł͂Ȃ��B�d�v�V�X�e���̍����X�N�����������ɉ����ł������A����̎w�E���Ĕ����Ă��Ȃ����A�f�f�Ώۂ���R��Ă��鎑�Y���Ȃ������p�����ē_������K�v������B�����̑���������KPI�ɂ���ƁA�f�f�͈͂����߂�قǐ��l���ǂ��Ȃ�Ƃ����t�]���N���蓾��B

�f�f���ʂ�΍�֕ς���4�‚̔��f

�@�f�f���ʂ������ւ‚Ȃ���ɂ́A����4�‚̔��f�𖾊m�ɂ���B

1. �f�f�͈��F�Ώ�URL��API�A�A�J�E���g�AIP�A�h���X�ȂǁA����m�F�����͈�
2. �Ή��D��x�F�Z�p�I�Ȑ[���x�Ǝ��Њ‹����d�˂Č��߂�
3. �C�������ƒS�������F�N�����‚܂łɒ��������߂�
4. �Đf�f�ɂ������m�F�F���C��ɖ�肪�������������m���߂�

����4�‚�������ď��߂āA��‚̐f�f�T�C�N�����‚���B

�@�f�f�񍐏��́A�V�X�e���̈��S���ؖ����鍇�i�؂ł͂Ȃ��A����ꂽ�l���Ɨ\�Z���ǂ��֔z�����邩�����߂邽�߂̎������B��2��ł́A���̓ǂݕ���O��ɁABBSec��2026�N�㔼���Ɏ��{����Web�A�v���P�[�V�����f�f�ƃl�b�g���[�N�f�f�̎Г��W�v�f�[�^����A�S�̌X�����m�F����B

�@�{�A�ڂ́ABBSec�̐Ǝ㐫�f�f���уf�[�^�Ɛf�f����̒m������ɍ\�����Ă���B