脆弱性管理の「トリアージ」が抱える指標の課題、数が多すぎるCVSSや米国仕様のKEVにも注意点
海外のセキュリティ専門会社には、独自の知見で対処すべき脅威を分析し、情報を提供するサービスもあります。費用はかかりますが、こうした外部サービスをうまく利用するのも手です。またASMのサービスも、脆弱性の確認や把握をカバーします。経済産業省からもASMの導入ガイダンスが出ているので、脆弱性管理の選択肢の1つになるでしょう。 ――脆弱性情報や社内の状況をつねにキャッチアップすることも大切ですね。 トリアージをしても、優先順位を誤って攻撃を受けてしまっては意味がありません。悪用されない脆弱性をいくら対策しても仕方ないので、組織の状況に合わせた指標や方法でトリアージをする必要があります。また状況の変化も速いので、一度トリアージして終わりにせず、最新のサイバーセキュリティ情報にはアンテナを張っておきましょう。
現状がわかっていれば、自社で対処できない場合にでも外部のサポートを受けるなどの選択肢を持つことができます。現場レベルだけでなく経営レベルで、サイバーセキュリティの現状を認識していることが理想です。
谷川 耕一 :ライター
