ソフトウェアの脆弱性評価指標「EPSS」と「SSVC」の活用実務
CVSS、EPSS、KEV、SSVCはいずれも判断材料です。単一の数値だけで対応を決めず、外部公開状況、資産重要度、悪用状況、緩和策を合わせて評価してください。
【背景と概要】
日々世界中で新しく発見・公表されるソフトウェアの脆弱性（CVE）。従来のセキュリティ運用では、共通脆弱性評価システム「CVSS（Common Vulnerability Scoring System）」の深刻度スコア（10点満点）を参照し、「CVSS 9.0以上（Critical）の脆弱性を優先的に修正する」という運用が一般的でした。
しかし、公表される脆弱性の数が膨大になりすぎた結果、CVSSスコアだけを基準にすると「修正対応が追いつかない」という運用上の破綻が生じるようになりました。この課題に対処するため、実際に攻撃者に悪用される確率を予測する「EPSS」や、自社の事業影響度を加味して修正判断を行う「SSVC」といった次世代の評価指標を組み込んだ脆弱性管理への転換が進んでいます。
【CVSS単独評価が抱える構造的限界】
CVSSは「その脆弱性が悪用された場合の『技術的な理論上の影響度』」を示すものであり、「今まさに攻撃者に使われているか」を示しているわけではありません。
- 修正対応の「オーバーワーク」
CVSSで最高危険度（Critical）と評価されている脆弱性であっても、実際には複雑な前提条件が必要であり、攻撃コード（PoC）が存在せず、悪用される確率が極めて低いものが多数存在します。これらをすべて緊急修正しようとすると、開発・運用チームが疲弊します。
- 真に危険な「CVSS中程度」の脆弱性の見落とし
CVSSスコアが中～高程度であっても、攻撃者にとって扱いやすく、すでにランサムウェアグループによって盛んに悪用されている脆弱性が存在します。CVSSだけに頼ると、これらの対応が後回しにされ、侵入を許す原因となります。
【EPSSとSSVCがもたらす新しい優先度設定】
コンテキストに基づく現実的な修正判断を可能にします。
- EPSS（Exploit Prediction Scoring System）：
機械学習を用いて「特定の脆弱性が今後30日以内に実際のサイバー攻撃で悪用される確率（0〜100%）」を毎日予測・更新する指標です。CVSSスコアが高くてもEPSSの悪用確率が0.1%未満であれば、緊急対応を保留するという合理的な判断が可能になります。
- SSVC（Stakeholder-Specific Vulnerability Categorization）：
米国CISA（サイバー安全局）等が推進する意思決定フレームワークです。「悪用の有無」「攻撃の容易さ」「システムの重要度」「安全への影響」などの問診（ツリー構造）を進めることで、「今すぐ対応（Act）」「次の定期アップデートで対応（Out-of-Band / Attend）」「静観（Track）」といった具体的な行動指針を出力します。
【新指標を導入した脆弱性運用の実践】
CVSS・EPSS・自社コンテキストの3軸で修正優先度を自動判定する仕組みを構築します。
- CISA KEV（悪用確認済み脆弱性カタログ）の活用
CISAが提供する「実際に攻撃で悪用が確認された脆弱性リスト（KEV）」に含まれる脆弱性は、CVSSスコアにかかわらず「最優先でパッチ適用する」という明確なルールを設定します。
- EPSS閾値による修正パッチ作業の自動振り分け
脆弱性管理ツールにおいて、「組織で定めたEPSS閾値以上」かつ「外部インターネット露出機器」に該当するもののみを緊急対応対象とし、それ以外は通常の月次メンテナンス枠で適用するという柔軟な運用ポリシーを確立します。