ビジネスインパクト（BI）スコアとは
目次
同じ CVSS 9.0 の脆弱性でも、決済を通す基幹システムに乗っているのと、退役待ちのテスト環境に乗っているのとでは、事業への響き方が違います。
ビジネスインパクト（BI）スコアは、その違いを資産の側から数値にして、技術的な深刻度と掛け合わせるための指標です。
BI スコアは、3 つの軸の合算で 5〜13 の整数になる
用途・データ分類・可用性の 3 つにそれぞれ値が付き、足し合わせた合計が BI スコアです。軸ごとに取りうる幅が違うので、合計の下限は 5、上限は 13 になります。
図1：3 つの軸の幅と、合計が収まる範囲
深掘り：上限と下限がどう決まるか
最大の 13 は、外部公開（用途 5）と機密データ（データ分類 5）と24時間稼働（可用性 3）がそろったときの値です。最小の 5 は、退役済み（用途 1）と公開情報のみ（データ分類 3）と停止可（可用性 1）の組み合わせで出ます。3 軸とも未設定なら、それぞれ 3 が当てられて合計 9 から始まります。
データ分類だけは「事業影響なし」を選べない
用途と可用性は 1 まで下がりますが、データ分類の下限は 3 です。扱うデータが公開情報だけでも、資産の重さをゼロへは倒さない作りです。
図2：データ分類だけ、下限が 3 で止まる
深掘り：データ分類は 3 か 5 の 2 段階
個人情報・決済情報・機密のいずれかなら 5、公開情報のみか未分類なら 3 で、その間の値は取りません。用途が 5 段階、可用性が 3 段階に分かれているのと比べると粗い刻みですが、機密を扱うかどうかは中間を置かずに切ったほうが判断がぶれません。
タグを 3 つ付けるだけで、スコアは自動で計算し直される
ホストにタグを付けると、その場でスコアが引き直されて TER バンドの判定まで届きます。運用として持つのはタグだけで、点数を手で入力する場面はありません。
図3：タグを付けるとスコアが引き直され、そのまま判定へ渡る
深掘り：どのタグが再計算の引き金になるか
引き金になるのは purpose・data_classification・availability の 3 つだけで、それ以外のタグを付け外ししてもスコアは動きません。タグを消した場合も、その軸だけが既定の 3 に戻って計算し直されます。
スコアは 3 段階に畳まれて、TER のビジネス側の軸になる
5〜13 の整数はそのまま使われず、高・中・低の 3 段階へ畳まれます。境目は 10 と 5 で、11 以上が高、6 から 10 が中、5 だけが低です。
図4：5〜13 の整数が、3 つの帯へ畳まれる
深掘り：既定値 9 は「中」に入る
タグを付けていないホストは合計 9 から始まるので、何もしない状態では中 BI の扱いです。重い資産を高 BI へ上げるにも、退役待ちを低 BI へ下げるにも、タグを付ける操作が要ります。
同じ脆弱性でも、載っている資産の重さで順番が変わる
技術側のランクが同じでも、行き着くバンドは BI 次第です。CVSS 9.0 に高い悪用確率が付いた同一の脆弱性が、高 BI のホストでは S、低 BI のホストでは B になります。
図5：技術側が同じでも、資産の重さで行き先が分かれる
- 脅威エクスポージャーリスク：技術リスク × ビジネスリスクの統合評価
- 脅威ディスカバリレベル（TDL）とは
- CVSS・EPSS・KEV：脆弱性スコアの読み方と使い分け
- CTEMとは：従来の脆弱性管理との違いと使い分け
自社の資産に BI スコアを付けて順番を組み替えるところまでは、14日間無料で試せます。
付録：3 つの軸の値とタグ
表1：purpose（用途）— 1〜5
| 値 | タグ | 例 |
|---|---|---|
| 5 | public（公開） / remote_access（外部アクセス） | 公開 Web、API、VPN |
| 4 | restricted（制限） / mail_infra（メール基盤） | 限定公開システム、メール |
| 3 | development（開発） / unknown（未分類） | 開発環境、未分類アセット |
| 2 | internal_only（社内専用） | 社内専用システム |
| 1 | archived（退役済み） | 退役・再起動前のシステム |
表2：data_classification（データ分類）— 3 か 5
| 値 | タグ | 例 |
|---|---|---|
| 5 | personal_data（個人情報） / payment_data（決済情報） / confidential（機密） | 顧客情報、決済、社外秘 |
| 3 | public_only（公開のみ） / unknown（未分類） | 公開コンテンツのみ、未分類 |
表3：availability（可用性）— 1〜3
| 値 | タグ | 例 |
|---|---|---|
| 3 | mission_critical（事業継続必須） / unknown（未分類） | 24 時間稼働システム |
| 2 | business_hours（業務時間のみ） | 営業時間内のみ稼働 |
| 1 | non_critical（停止可） | バックオフィス、一時的なシステム |
表4：合計値の境目
| 合計 | 内訳 | 意味 |
|---|---|---|
| 13 | 5 + 5 + 3 | 公開システム × 機密データ × 24 時間稼働 |
| 9 | 3 + 3 + 3 | タグ未設定のホストの既定値 |
| 5 | 1 + 3 + 1 | 退役済み × 公開のみ × 停止可 |
本文の値は、2026年8月17日に PentaTrail の算出処理そのものを参照して確認したものです。
