CVEは脆弱性ごとの世界共通の番号、CVSSは深刻度の点数（0〜10）、JVNは日本の製品を中心に脆弱性情報を日本語で公開するポータルです。対応の判断では、自社がその製品・バージョンを使っているか、外部から攻撃できるか、実際に悪用されているかの3点を確認します。
用語の意味
| 用語 | 意味 |
|---|---|
| CVE | 脆弱性の識別番号（例：CVE-年-番号） |
| CVSS | 深刻度の評価。9.0以上が「緊急」、7.0以上が「重要」など |
| JVN | JPCERT/CCとIPAが共同で運営する脆弱性情報ポータル |
| KEV | 米国CISAが公開する「実際に悪用が確認された脆弱性」のカタログ |
判断のポイント
- 影響を受ける製品・バージョンを自社で使っているか（資産管理）
- 認証なし・ネットワーク経由で攻撃できるか
- 悪用が確認されているか（KEVや注意喚起）
- 修正版・回避策があるか
CVSSの点数だけで優先度を決めると、点数は高いが自社には影響の小さいものに時間を取られることがあります。「悪用されているか」「外部に公開しているか」を重視しましょう。