評価

説明

S

脆弱性が検出されず非常にセキュアな状態

A

危険度Lowの脆弱性のみを検出

B

危険度Mediumの脆弱性を検出

C

危険度Highの脆弱性を検出

D

危険度Highの脆弱性を複数種類検出

*

実証には至らなかったが、脆弱性となり得る可能性を検出

脆弱性
重大度

判断基準

対応目標時間

High

【システムの改ざんや破壊、情報の窃取が可能な状態】

（判断例）

・SQLインジェクション、コマンドインジェクション

・ディレクトリトラバーサル

・セッション管理の不備

2週間以内の対策実施。

Medium

【既知の攻撃手法の組み合わせによって発生する脅威】

（判断例）

・クロスサイトスクリプティング

・メールヘッダインジェクション

原則として、一か月以内の対策実施。

Low

【高度な技術や特定の条件化にて発生する脅威】

（判断例）

・例外処理の不備

・無効化されていないデバッグコマンド、
管理用コマンド

対応要否検討の上、都度判断。
（システム改修のタイミングなどで修正を検討）