脆弱性管理の｢トリアージ｣が抱える指標の課題 すべてに対応は難しい､｢優先順位｣どうつける

これは悪用が確認された脆弱性のデータベースで、アメリカの連邦政府機関では2年前から、KEVで公開された脆弱性は緊急度に応じて2週間や1カ月以内など期間内に対処することを法律で義務付けています。

現在の対象は連邦政府機関ですが、民間もこれを活用すべきとの動きがあります。しかし、あくまでもアメリカ政府機関で想定される脆弱性しか掲載されないため、日本国内でしか使われていないソフトウェアの情報などは載りません。そのため、KEVの情報は実際に攻撃に使われる脆弱性よりもかなり少ないです。

CVSSでは数が多すぎるので、KEVの情報を参考にするというのは合理的な考え方でしょう。ただし、KEVでカバーされていない部分をどう判断するかは、企業や組織がそれぞれ取り組まなければなりません。

日本にもKEVのように誰でも参照できるリストがあれば、脆弱性情報の認識も速くなるはずです。今のところ、日本政府なり周辺機関で動きはありませんが、民間組織がそれぞれデータベースを作るのは二度手間だし、拘束力もありません。国としてKEVを真似た仕組みができるといいなと考えています。

現状のサイバーセキュリティ情報にアンテナを張っておく

――トリアージを機能させインシデントを起こさないためのポイントはありますか。

多くの組織が、ベンダーやSI企業などに委託してITシステムの構築や運用を行っているでしょう。IIJもネットワークの設計や運用管理のサービスを提供していますが、ベンダーやSI企業は脆弱性情報をいち早く入手しているので、協力関係を作って支援を得るといいでしょう。

とはいえ、必ずしも依頼先が高度なセキュリティのノウハウを持っているとは限りません。パートナーの経験値を見極める必要もあるかもしれません。

海外のセキュリティ専門会社には、独自の知見で対処すべき脅威を分析し、情報を提供するサービスもあります。費用はかかりますが、こうした外部サービスをうまく利用するのも手です。またASMのサービスも、脆弱性の確認や把握をカバーします。経済産業省からもASMの導入ガイダンスが出ているので、脆弱性管理の選択肢の1つになるでしょう。

――脆弱性情報や社内の状況をつねにキャッチアップすることも大切ですね。

トリアージをしても、優先順位を誤って攻撃を受けてしまっては意味がありません。悪用されない脆弱性をいくら対策しても仕方ないので、組織の状況に合わせた指標や方法でトリアージをする必要があります。また状況の変化も速いので、一度トリアージして終わりにせず、最新のサイバーセキュリティ情報にはアンテナを張っておきましょう。

現状がわかっていれば、自社で対処できない場合にでも外部のサポートを受けるなどの選択肢を持つことができます。現場レベルだけでなく経営レベルで、サイバーセキュリティの現状を認識していることが理想です。

谷川 耕一：ライター