v2の資料を基に作成しました。情報システムの脆弱性に対するオープンで汎用的な評価手法であり、ベンダーに依存しない共通の評価方法を提供しています。CVSSを用いると、脆弱性の深刻度を同一の基準の下で定量的に比較できるようになります。ベンダー、セキュリティ専門家、管理者、ユーザ等の間で、脆弱性に関して共通の言葉で議論できるようになります。CVSSでは次の3つの基準で脆弱性を評価します。Metrics)脆弱性そのものの特性を評価する基準です。この基準による評価結果は固定していて、時間の経過や利用環境の異なりによって変化しません。ベンダーや脆弱性を公表する組織などが、脆弱性の固有の深刻度を表すために評価する基準です。Metrics)脆弱性の現在の深刻度を評価する基準です。この基準による評価結果は、脆弱性への対応状況に応じ、時間が経過すると変化します。ベンダーや脆弱性を公表する組織などが、脆弱性の現状を表すために評価する基準です。Metrics)製品利用者の利用環境も含め、最終的な脆弱性の深刻度を評価する基準です。この基準による評価結果は、脆弱性に対して想定される脅威に応じ、製品利用者毎に変化します。製品利用者が脆弱性への対応を決めるために評価する基準です。v2で追加されたパラメタは朱記してあります。Vector)脆弱性のあるシステムをどこから攻撃可能であるかを評価します。Complexity)脆弱性のあるシステムを攻撃する際に必要な条件の複雑さを評価します。(Authentication)脆弱性を攻撃するために対象システムの認証が必要であるかどうかを評価します。)脆弱性を攻撃された際に、対象システム内の機密情報が漏えいする可能性を評価します。)脆弱性を攻撃された際に、対象システム内の情報が改ざんされる可能性を評価します。)脆弱性を攻撃された際に、対象システム内の業務が遅延・停止する可能性を評価します。Potential)対象システムが脆弱性を攻撃された場合の物理的な機器への被害や、生活基盤、身体などへ及ぼす二次的な被害の可能性を評価します。Distribution)利用環境の中で、脆弱性を攻撃される可能性のある対象システムを利用している範囲を評価します。Requirements)対象システムが要求されるセキュリティ特性に関して、その該当項目(「機密性(C)」、「完全性(I)」、「可用性(A)」)を重視する場合、その該当項目を高く評価します。AR)」を評価します。・対象システムの該当項目を失われると、深刻な影響がある。・対象システムの該当項目を失われると、壊滅的な影響がある。式(3)式(4)の影響度に、式(6)の調整後影響度の計算結果を代入し、基本値を再計算する。その基本値で式(5)の現状値を再計算する。v2に移行した旨、追記しました。5010005007126)。