EPSSとCVSS・KEV・SSVCは、評価する観点と役割が異なります。CVSSは脆弱性の「深刻度」、KEVは「すでに悪用された事実」、SSVCは「いつまでに・どう対応すべきか」を示すのに対し、EPSSは「今後30日以内に悪用される確率」を予測します。
- CVSSとの違い
CVSSは脆弱性そのものの深刻度や技術的な影響の大きさを評価する仕組みで、スコアが高くても実際に悪用されやすいとは限りません。 - KEVとの違い
KEVは米国CISAが公開する「悪用が確認された脆弱性」のリストで「過去〜現在」の事実を示すのに対し、EPSSは「未来」の悪用確率を予測します。 - SSVCとの違い
SSVCは脆弱性への対応方針を決めるための意思決定モデルで、EPSSのスコアはその判断材料の一つとして活用できます。
各指標を組み合わせて使うことで、より精度の高い優先順位づけが可能になります。
詳しい各指標との違いについては「EPSSと他の評価指標（CVSS・KEV・SSVC）の違い」をご覧ください。
