そのパッチ本当に必要? リスクベース脆弱性管理とは | ScanNetSecurity
2024.06.20(木)

そのパッチ本当に必要? リスクベース脆弱性管理とは

脆弱性ハンドリングにおいてもっとも効果的な対応策は「公開されたセキュリティパッチを当てること」だろう。これはゆるぎない事実であり、いまも将来も変わらない対策の基本中の基本といえる。

研修・セミナー・カンファレンス セミナー・イベント
オンラインセミナーで講演するグレイグ・ローソン氏
オンラインセミナーで講演するグレイグ・ローソン氏 全 5 枚 拡大写真
 脆弱性が報告され、パッチが公開されたら、それをあてる。しごく単純なことだが、運用の現場でこの単純業務は決してシンプルなものではない。

 ScanNetSecurity 読者のような、冷静で経験豊富なセキュリティ管理者なら、脆弱性ハンドリングのフレームワークが規定するCVSSのランク、インパクトを必ずしも数値どおりに判断しないかもしれない。理由は、これらの指標が平均的な前提条件、攻撃を受けたときの影響度・深刻度を表すものだ、ということを知っているからだ。

 本稿では2020年末に開催された セキュリティ&リスク・マネジメント サミットの、ガートナー アナリスト グレイグ・ローソン氏の講演「脆弱性管理のための戦略的ビジョン」の要旨をもとに構成する。

●リスクベースの脆弱性管理とは

 リスクベースの考え方は 25 年以上前から存在する。決して新しいものではないが、脆弱性管理の視点で注目されたのは比較的最近かもしれない。セキュリティの常識として、脅威やリスクは、国、事業者、守りたい資産によって異なるものだ。リスクベースの脆弱性管理は、自身や自社が対峙する脅威環境を定量化する行為でもある。定量化はもちろんデータによって裏付けられる。

《中尾 真二( Shinji Nakao )》

関連記事

この記事の写真

/

特集

PageTop

アクセスランキング

  1. グリコの基幹システム障害、一部商品出荷を 6 / 25 以降再開

    グリコの基幹システム障害、一部商品出荷を 6 / 25 以降再開

  2. 約 30 名の学生がフィッシング被害に ~ 明治薬科大学教員の M365 アカウントに不正アクセス

    約 30 名の学生がフィッシング被害に ~ 明治薬科大学教員の M365 アカウントに不正アクセス

  3. 「プレミアムバンダイ」会員情報漏えいの可能性、委託先従業員が私物ハードディスクを使用

    「プレミアムバンダイ」会員情報漏えいの可能性、委託先従業員が私物ハードディスクを使用

  4. イセトーにランサムウェア攻撃、阿波銀行・藤沢市・茅ヶ崎市にも影響

    イセトーにランサムウェア攻撃、阿波銀行・藤沢市・茅ヶ崎市にも影響

  5. 役に立たないメール訓練 もうやめません? by Googleセキュリティ担当者

    役に立たないメール訓練 もうやめません? by Googleセキュリティ担当者

  6. オイレス工業にランサムウェア攻撃、生産活動に影響なし 出荷通常通り

    オイレス工業にランサムウェア攻撃、生産活動に影響なし 出荷通常通り

  7. 米政府、病院 IT システムの自動パッチ適用ツールに 80 億円投入

    米政府、病院 IT システムの自動パッチ適用ツールに 80 億円投入

  8. セキュリティ企業の セキュリティ企業による セキュリティ企業のための投資ファンド ~ GSX 青柳史郎が語る「日本サイバーセキュリティファンド」設立趣旨

    セキュリティ企業の セキュリティ企業による セキュリティ企業のための投資ファンド ~ GSX 青柳史郎が語る「日本サイバーセキュリティファンド」設立趣旨PR

  9. KADOKAWA グループ複数サイトで障害、サイバー攻撃の可能性

    KADOKAWA グループ複数サイトで障害、サイバー攻撃の可能性

  10. 横浜国立大学 学生間でメールアドレスが閲覧可能に 1万人利用可のクラウドサービスで

    横浜国立大学 学生間でメールアドレスが閲覧可能に 1万人利用可のクラウドサービスで

ランキングをもっと見る