SERIES
Series 06｜AI時代の脆弱性管理・Exposure Management
全3回中3回・更新中
「深刻度の高い脆弱性から順に直す」。この運用だけでは、攻撃者が実際に使う侵入経路を塞げません。公開される脆弱性は増え続け、すべてを直す時間も人も足りないからです。本シリーズでは、CVSSの点数に加えて、悪用実績、インターネットへの露出、資産の重要度、攻撃経路から優先順位を見直す方法を解説します。さらに、CTEM（継続的な脅威エクスポージャー管理）によって、脆弱性管理を経営に説明できる継続的なプロセスに変える道筋を、全3回で示します。
このシリーズの記事
- 第1CVSSの高い脆弱性から直す、だけでは守れない理由「CVSS 9.0以上は14日以内に対応」。多くの組織が採用するこの運用は、もう限界に来ています。2025年に公開された脆弱性は48,185件、CriticalとHighだけで約1万9千件です。しかもCVSSは脆弱性の深刻度であり、自組織が攻撃される危険の大きさではありません。本稿では、点数順の運用が抱える2つの限界を示し、露出、悪用実績、資産の重要度、攻撃経路、補完統制という5つの観点で優先順位を見直す考え方を解説します。米CISAが2026年に出した新指令BOD 26-04の動向と、見直しチェックリスト8項目付き。
- 第2資産×脆弱性×脅威×Attack Pathで優先順位を変える侵入の入口として最も多いのは、脆弱性の悪用です。2026年版のVerizon DBIRでは31％、MandiantのM-Trendsでは6年連続の首位でした。悪用は修正プログラムの公開より早く始まり、すべてを速く直すことはもはやできません。本稿では、資産、脆弱性・設定不備、脅威、Attack Pathという4つの情報を重ね、「実際に侵害につながる露出」から対応する優先順位の決め方を解説します。EASMによる資産の発見、攻撃経路のチョークポイント、金融機関向けの優先度ルール表まで示します。
- 第3CTEMで脆弱性管理を継続的な経営プロセスに変える脆弱性管理の報告が「検出件数」と「パッチ適用率」のままでは、経営は何を判断すればよいかわかりません。本稿では、Gartnerが提唱するCTEM（継続的な脅威エクスポージャー管理）の5段階、スコーピング、発見、優先順位付け、検証、動員を、金融機関でどう回すかを解説します。重要業務の単位で範囲を切る方法、修正部門を動かす合意の作り方、そして経営・CISO・現場の3層で設計するKPIと報告例を示します。修正プログラムの公開前に悪用が始まるAI時代に、脆弱性管理を経営プロセスに変えるための最初の90日の進め方付き。