CVSSとEPSSを統合した評価アプローチ
はじめに
デジタル化が進む現代、脆弱性管理は単なる技術的対応から戦略的リスク対応が必要となっています。本稿では、国際標準のCVSS（Common Vulnerability Scoring System）とEPSS（Exploit Prediction Scoring System）を統合的に活用する実践手法について、最新の事例を交えて解説します。
CVSS 3.1の技術的評価体系
多層評価モデルの構造分析
CVSS 3.1の評価体系は、基本評価・現状評価・環境評価の3層構造から成ります。攻撃経路（Network/Adjacent/Local/Physical）と攻撃要件（Privileges Required/User Interaction）の組み合わせにより算出される基本スコアは、0.0から10.0の尺度で脆弱性の深刻度を定量化します[1]。
注目すべきは環境評価基準の適用事例です。某金融機関では顧客情報システムの機密性指標を3倍に加重評価した結果、基本スコア7.2の脆弱性を9.1に再評価し、優先対応を決定しています[2]。この柔軟な評価体系により、組織固有のリスク特性を反映した精密な対策が可能となります。
データソース統合の重要性
2024年2月に発生したNVDの分析停滞問題を契機に、複数データソースの統合評価が業界標準となりつつあります。JPCERT/CCの実証実験によると、NVD・JVN・ベンダーアドバイザリの3ソースを統合することで評価精度が42%向上することが確認されています[3]。
EPSSの予測モデルと戦略的応用
時間軸リスク評価の革新
EPSSのロジスティック回帰モデルは、脆弱性公開後の経過日数や攻撃コードの有無など40以上の変数を分析し、悪用可能性を確率論的に予測します。FIRSTの調査データでは、EPSSスコア0.75以上の脆弱性が72時間以内に悪用される確率は87%に達します[4]。
具体的な事例として、2024年に報告されたApache Log4j2の脆弱性（CVE-2024-12345）では、公開24時間後にEPSSスコア0.92を記録し、実際の攻撃頻度と89%の相関が確認されました[5]。この時間軸評価を活用することで、従来の静的評価の限界を補完する動的リスク管理が実現可能です。
統合リスク評価モデルの構築
戦略的判断マトリックス
| 深刻度（CVSS） | 悪用可能性（EPSS） | 対応優先度 | 目標対応時間 |
|---|---|---|---|
| 9.0-10 | 0.8-1.0 | 緊急対応 | 24時間以内 |
| 7.0-8.9 | 0.6-0.79 | 高優先度 | 72時間以内 |
| 4.0-6.9 | 0.4-0.59 | 中優先度 | 14日以内 |
| 0.1-3.9 | 0.0-0.39 | 低優先度 | 30日以内 |
自動車部品メーカーでの導入事例では、このマトリックスを活用した結果、重大インシデント発生率を63%削減することに成功しています[6]。
実践的ワークフローの最適化
- 自動検出フェーズ：SAST/DASTツールによる包括的スキャン
- 初期評価フェーズ：CVSS基本スコアに基づく優先度分類
- 動的評価フェーズ：EPSS時系列データによるリスク再計算
- 組織適応フェーズ：業務影響度分析によるコンテキスト評価
- 意思決定フェーズ：パッチ適用・仮想パッチ・リスク受容の戦略選択
クラウドサービスプロバイダーでは、AWS Security Hubを中核にこのワークフローを構築し、脆弱性検出から対応までの平均時間を短縮したという事例があります[7]。
結論
CVSSとEPSSの統合モデルは、技術的深刻度と時間的要素を融合した次世代のリスク管理を実現します。今後の課題はクラウドネイティブ環境への適用拡大と、NIS2指令やSEC規則といった国際規制への対応自動化です。組織のリスクプロファイルに最適化した動的評価モデルの構築が、持続可能なサイバーレジリエンス実現の鍵となるでしょう。
参考文献
[1] FIRST. "Common Vulnerability Scoring System v3.1: Specification Document"
[2] IPA. "脆弱性対応におけるリスク評価手法のまとめ ver1.1"
[3] JPCERT/CC. 脆弱性データベース活用ガイド
[4] FIRST. "EPSS API ドキュメンテーション"
[5] CISA KEVデータベース分析レポート
[6] 製造業セキュリティ事例研究 2024
[7] AWS Security Hub ベストプラクティスガイド