脆弱性管理ツールを導入すれば、脆弱性を見つけることはできる。しかし、実際の修正では、パッチの適用や設定変更だけでなく、対象システムへの影響確認や関係部門との調整が必要になることもある。日常の運用業務を抱える情報システム部門にとって、見つかった脆弱性を一件ずつ確認して修正する作業は重い。検出件数が増えるほど、対応すべき仕事も積み上がる。対策を始めた結果、かえって現場が回らなくなることもある。

画像をご覧いただくには会員登録が必要です

会員登録・ログイン

脆弱性が見つかるほど現場の負担は増える（Tenableの回答を基に編集部で作成）

　貴島氏は、セキュリティを「IT部門のコスト」と捉える経営認識も、対応を難しくする要因だと指摘する。脆弱性を放置した結果として事業が停止する可能性まで含め、セキュリティリスクをビジネスリスクとして扱わなければ、必要な予算や体制は確保しにくい。

MFAやEDRがあっても、脆弱性対策は必要なのか

　既にMFA（多要素認証）やEDR（Endpoint Detection and Response）、XDR（Extended Detection and Response）を導入している企業では、別途脆弱性対策が必要なのかという疑問も生じる。Tenableは、それぞれの対策は役割が異なると説明する。

　MFAは認証情報の不正利用を防ぐための対策で、EDRやXDRは侵入の兆候や侵入後の不審な挙動を検知するための対策だ。一方、脆弱性対策は、攻撃者の侵入経路になり得る弱点を事前に把握し、修正する役割を担う。いずれか一つで全ての攻撃を防ぐのではなく、異なる役割の対策を組み合わせる必要がある。

　また、EDRは基本的にエージェントを導入した端末を対象とする。管理者が把握していないサーバや、エージェントを導入できないネットワーク機器などは、監視から漏れる可能性がある。重要なのは、管理対象として把握できている範囲だけでなく、攻撃者から自社がどう見えているかまで含めて確認することだ。

最初に見るべきは「脆弱性」ではなく「資産」

　では、脆弱性対応は何から始めればよいのか。貴島氏が最初に挙げるのは、脆弱性の検出ではなく、IT資産の可視化だ。

　企業では、クラウドサービスの利用やテレワークの普及、事業部門によるシステム導入などによって、IT部門が把握していない資産が生まれやすい。更新されていないWebサーバや、放置されたクラウド環境、管理者が把握していない機器が外部に公開されている可能性もある。

　守るべき資産を把握できていなければ、その資産に存在する脆弱性も確認できない。まずは、外部公開されているシステムやクラウド環境、社内のサーバ、ネットワーク機器などを継続的に把握する必要がある。

画像をご覧いただくには会員登録が必要です

会員登録・ログイン

自社には何の資産があるか、からスタート（Tenableの回答を基に編集部で作成）

　ただし、資産を可視化して脆弱性を洗い出すだけでは、対応対象が増えて現場が疲弊してしまう。可視化は出発点であり、その後に何を優先して直し、何を後回しにするかを判断する仕組みが必要になると貴島氏は語る。

CVSSが高い順に直せばよいわけではない

　脆弱性の深刻度を示す指標として、CVSS（Common Vulnerability Scoring System）が広く使われている。しかし、CVSSのスコアが高い脆弱性から順に修正すればよいとは限らない。

　例えば、同じ脆弱性でも、インターネットに公開されたクラウド上のサーバに存在する場合と、外部から隔離された社内サーバに存在する場合では、攻撃を受ける可能性が異なる。重要な業務システムに存在するのか、停止しても影響が小さい検証環境に存在するのかによっても、対応の緊急度は変わる。

　Tenableは、優先順位を付ける際にはCVSSだけでなく、複数の情報を組み合わせる必要があるとする。具体的には、実際に攻撃に悪用される可能性を示す「EPSS」（Exploit Prediction Scoring System）、米国のサイバーセキュリティ機関CISA（Cybersecurity and Infrastructure Security Agency）が公開する「KEV」（Known Exploited Vulnerabilities）カタログ、外部への公開状況、資産の重要度、既存の防御策などだ。

　外部の脅威情報だけでなく、自社の資産や事業に関する情報を重ね合わせることで、同じ脆弱性でも自社にとってどの程度危険なのかを判断できるという。

画像をご覧いただくには会員登録が必要です

会員登録・ログイン

深刻度だけでは判断できない（Tenableの回答を基に編集部で作成）

サービス選定で見るべきは「発見する力」より「絞り込む力」

　脆弱性対策サービスを比較する際、どれだけ多くの脆弱性を検出できるかに目が向きやすい。しかし、貴島氏は「情報の量」よりも「判断の質」が重要だと話す。

　多くの脆弱性を見つけても、全てに対応できなければ、未処理の項目が積み上がるだけだ。担当者は大量の検出結果を前に、何から手を付ければよいのか分からなくなる。そこで必要になるのが、実際の悪用状況や資産の重要度などを基に、本当に対応すべき対象を絞り込む機能だ。

　サービスを選ぶ際は、脆弱性を発見する能力だけでなく、「今日直すべき対象」と「後回しにできる対象」をどこまで判断できるかを見る必要がある。

　また、PCやサーバだけでなく、クラウドの設定不備、外部公開されたWebサイト、ID管理の問題などを含め、自社の攻撃対象領域をどこまで一元的に確認できるかも重要だ。導入費用だけでなく、検出結果の分析やレポート作成にどれだけ人手がかかるかも確認したい。ツールが安価でも、運用に多くの時間を要すれば、現場の負担は減らない。

「全部直す」運用はなぜ破綻するのか

　導入後に運用を止めないために必要なのは、全てを修正することではなく、今すぐ修正する対象と後回しにする対象を分けることだ。

　Tenableは、「見つけた脆弱性を全部修正する」という運用は必ず破綻すると説明する。脆弱性は日々新たに公表され、企業が管理するIT資産も変化し続ける。限られた担当者が全件を確認し、修正し続けるのは現実的ではない。

　そこで、実際に攻撃に使われているか、外部に公開されているか、事業にとって重要な資産かといった条件から、大きな被害につながる可能性が高い対象へ対応を集中させる。

　同社は「Tenable One」を利用することで、リスクが深刻な上位3％に対応を集中できると説明する。全てを一律に扱うのではなく、優先度の高い対象から修正する運用にすることで、担当者の負荷を抑えながら継続的に改善しやすくなるという。

　ただし、「上位数％だけを直せば安全になる」という意味ではない。現時点で自社に大きな被害をもたらす可能性が高いものから手を付け、環境や脅威の変化に応じて優先順位を見直し続けるという考え方だ。法令や契約、システムの変更などによって対応が必要になる場合もあるため、優先度が低いと判断した脆弱性についても、修正時期を含めて継続的に管理する必要がある。

画像をご覧いただくには会員登録が必要です

会員登録・ログイン

優先度は変わり続ける（Tenableの回答を基に編集部で作成）

脆弱性管理は「見つける作業」から「選ぶ作業」へ

　脆弱性対策では、弱点の発見自体が目的になりがちだ。しかし、現場で本当に必要なのは、限られた人員と時間をどこに使うかを決めることだ。

　まず、外部公開されたシステムや把握できていない機器を含め、守るべき資産を可視化する。次に、脆弱性の深刻度だけでなく、悪用実績や外部への露出状況、資産の重要度、事業への影響を基に優先順位を付ける。その上で、大きな被害につながる可能性が高い対象から修正する。

　脆弱性対策サービスを選ぶ際も、「何件見つけられるか」だけでなく、「何を今すぐ直すべきか」「何を後回しにできるか」を判断し、現場が対応できる数まで絞り込めるかを見る必要がある。

　全てを一度に直そうとするのではなく、自社にとって危険性の高い対象から手を付け、継続的に優先順位を見直す。脆弱性管理を止めずに回すには、この割り切りが必要だ。その第一歩として、「外部から見える自社のIT資産を全て挙げられるか」を自問してみてほしい。答えに詰まるなら、直すべきは脆弱性の前に、資産の把握だ。