KEV

脆弱性の深刻度を0.0〜10.0のスコアで定量的に評価するための国際的な基準。基本評価基準（脆弱性の技術的特性）、現状評価基準（攻撃コードの有無等）、環境評価基準（組織固有の影響）の3つの評価基準から構成される。

OSやソフトウェア、ハードウェアの製品名とバージョンを一意に表す共通の識別名の体系。脆弱性情報と自組織の資産を機械的に突き合わせるために用い、SCAPを構成する仕様の一つ。

脆弱性が今後30日以内に悪用される確率を予測し、0〜1（0〜100%）の値で示す指標。FIRSTが公開しており、悪用の観測データなどを基に毎日更新される。脆弱性の深刻度を示すCVSSや、悪用が確認された脆弱性の一覧であるKEVと組み合わせて、修正の優先順位付けに使う。

脆弱性の深刻度をベンダーに依存しない共通の基準で数値化する評価手法。攻撃の難易度などを表す基本評価基準、時間経過で変わる現状評価基準、利用環境を加味する環境評価基準の3つの尺度から0.0〜10.0のスコアを算出する。

個別の製品に見つかった脆弱性そのものに「CVE-西暦-連番」形式の一意な識別番号を付ける仕組み。同じ脆弱性を各社が別名で呼ぶ混乱を避け、脆弱性情報データベースや診断ツールの間で情報を突き合わせられるようにする。

バッファオーバーフローやクロスサイトスクリプティングなど、脆弱性の「種類」を体系的に分類・列挙した一覧。個々の事象を識別するCVEに対し、原因となる作り込みのパターンを整理する点が異なり、セキュアプログラミングの指針に使われる。