ある組織が実施した脆弱性診断の結果、複数のシステムで脆弱性が検出された。CVSS基本値が最も高い脆弱性であっても、当該システムがインターネットから隔離された閉域網内にあり、攻撃元区分(Attack Vector)が「ネットワーク経由」を前提としていた場合、対応の優先順位を決定する際に追加で考慮すべきものとして最も適切なものはどれか。

• ACVSS基本値のみを機械的に用い、値が高い順に一律で対応する
• ✓実際のネットワーク構成やアクセス経路を踏まえた環境評価基準（Environmental Metrics）や、当該資産固有のリスク（資産価値・実際の攻撃可能性）を加味して評価し直す
• C脆弱性の存在自体を無視し、パッチ適用を行わない
• DCVSS基本値を0点に読み替えて再計算する