脆弱性管理の｢トリアージ｣が抱える指標の課題 すべてに対応は難しい､｢優先順位｣どうつける

セキュリティの脆弱性管理における「トリアージ」には、優先順位を判断する「指標」に課題もある（写真：セーラム / PIXTA）

災害時など多くの傷病者がいる現場で、傷病の緊急度や重症度に応じて治癒や搬送の優先順位を決定する「トリアージ」。実はサイバーセキュリティの世界でも行われていることをご存じだろうか。

サイバーセキュリティにおけるトリアージは、セキュリティインシデントの重要性や緊急性を適切に判断し、対応の必要性や優先順位を見極めることだ。トリアージのメリット・デメリット、必要となる事前準備や体制などについて、インターネットイニシアティブ（IIJ） セキュリティ本部 セキュリティ情報統括室長の根岸征史氏に聞いた。

脆弱性管理における「トリアージ」とは

――サイバーセキュリティの「トリアージ」は、どう捉えればよいのでしょうか。

【写真で見る】脆弱性におけるトリアージを解説するIIJの根岸氏

ここでは脆弱性管理のトリアージに絞って説明します。脆弱性は報告されているものだけでも年間3万件くらいあり、この2年ほどで急激に増えています。

とはいえ、すべてに対応しなければいけないわけではありません。さまざまな調査がありますが、実際にサイバー攻撃に悪用されるのは全体の1〜4％程度で、大事なのは悪用されるものを確実に対策することです。

脆弱性が見つかると、対象製品のベンダーなどから修正プログラム、いわゆるパッチが提供され、ユーザーはそれを適用して対策します。通常、見つかった脆弱性が悪用されて攻撃が来るまでには猶予がありますが、その期間は年々短くなっています。

数も多くスピードも求められる中、効率良く対処するには優先順位付けが重要です。悪用される可能性が高いものはどれで、攻撃があった際は組織にどんな影響があるのか。自社が持つIT資産によって重要度も異なるので、それらを加味した優先順位付けをするのがトリアージです。

――トリアージのための準備や体制はどのようなものが必要ですか。

脆弱性対応は大きく4段階に分かれます。前半2つはトリアージの準備です。第1段階が「対象の把握」で、どのようなソフトウェアやハードウェアを使っているかを把握します。第2段階ではそれらに脆弱性があるかを確認します。

そのためには、ベンダーなどが提供する情報を日常的にチェックします。またアタックサーフェスマネジメント（Attack Surface Management:ASM）と呼ばれる、インターネットに接続されている機器やソフトウェアを外部からスキャンして脆弱性を調べるサービスもあります。