脆弱性管理とは — CVSS・EPSS・KEVの違いと対応優先度の決め方

脆弱性管理とは：修正と確認を続ける運用

脆弱性管理は、欠陥を発見して終わる活動ではありません。自組織に該当するかを調べ、優先順位と責任者を決め、修正後に効果を確認する継続的な運用です。まず資産台帳とベンダーの公式アドバイザリを照合します。

初心者は「スコアが高い順」、情シスは「すべて即日修正」と考えがちですが、稼働環境、悪用状況、業務影響によって取るべき行動は変わります。更新を待つ間のアクセス制限や監視も、責任者と期限を定めて管理します。

CVE・CVSS・EPSS・KEVの違い

公式CVSS資料のスコアを見る時は、版、評価者、ベクトルも残します。v3.1とv4.0では評価項目が異なるため、数値だけを同じ条件の評価として比較しません。

FIRSTのEPSS説明では、予測値と順位を示すパーセンタイルを区別します。低い予測値は、攻撃コードがないことや更新を延期してよいことの証明ではありません。高い値も、すでに大量の攻撃が起きたことを直接示すものではありません。

KEV未掲載を「悪用されていない」と読み替えないでください。掲載時の期限は適用対象を確認し、自社の法令・契約・対応基準と分けて記録します。

まず確認するチェックリスト

• CVE、製品名、版、導入形態、影響する機能を公式情報で照合する。
• 管理画面、利用者向け画面、内部通信の公開範囲を区別する。
• 認証や特権が必要な条件を確認する。内部からの到達も無視しない。
• データ、管理権限、停止した時の業務影響、復旧手段を整理する。
• KEV、ベンダーの悪用情報、自社のログ・アラートを確認する。
• 修正版、サポート状況、再起動、関連する修正、緩和策の制約を確認する。
• 責任者、変更承認者、対応期限、次の確認日時を決める。

資産のソフトウェア一覧とSBOMは関連しますが、ポートスキャンの結果だけで完全なSBOMが得られるわけではありません。配布物、依存関係、稼働環境をそれぞれの管理情報で照合します。

優先度とエスカレーションを決める

侵害の兆候がある場合は、スコア集計を待たずインシデント担当へ報告します。影響する機器が外部公開され、悪用が確認されている場合も優先して対応判断を行います。公開範囲が限定的でも、重要データや管理機能を持つ資産は軽視しません。

SSVCは、立場や悪用状況等に応じた行動を選ぶ決定木の考え方です。採用するモデルの版と判断項目を確認してください。本記事のチェックリストは、特定のSSVCモデルの完全な実装や、公式の対応期限を示すものではありません。

情報不足の場合は「非該当」ではなく「未確認」として責任者へ渡します。更新が難しい場合は理由、暫定対策、残るリスク、見直し期限を承認してもらいます。

修正・暫定対策・完了確認

1. 影響する資産と業務担当へ連絡し、承認された変更・隔離の手順を使う。
2. ベンダーの修正と必要な関連作業を確認する。機能停止やアクセス制限の業務影響も評価する。
3. バックアップと復旧経路を確認し、対象に合った検証と適用を進める。
4. 稼働中の版、再起動待ち、サービス、公開範囲を確認する。
5. 適用できていない資産を含め、完了・未完了・未確認を報告する。

WAF等の暫定対策はすべての脆弱性に有効ではなく、修正の代わりになるとは限りません。侵害済みの可能性がある時は、更新だけで調査を終了せず、ログ保全、権限・認証情報の見直し、復旧判断を別に行います。

記録は「CVE／資産ID／根拠URLと確認日時／影響判定／公開範囲／悪用・自社兆候／承認した対策／検証結果／未完了と次回確認」で整理します。秘密情報や詳細な内部構成は公開の報告に載せません。

関連する実務・学習ページ

脆弱性初動確認、修正後の検証、インシデント対応、CVSSの読み方へ進み、対応を確認と記録までつなげてください。