脆弱性管理のライフサイクル

脆弱性管理（VM）は、一度きりのスキャンではなく、継続的なプログラムです。ライフサイクルとして扱うことで、脆弱性を確実に発見、評価、修正し、解消を確認できます。無視されたレポートに問題が積み上がる状態を防げます。

一般的なループは、発見、評価、優先順位付け、修正、検証の順に進み、その後繰り返します。各フェーズには担当者、入力、出力があります。

見えていないものを保護することはできません。発見では、正確な資産インベントリを構築・維持し、その全体から脆弱性を見つけます。

• ホスト、クラウドインスタンス、コンテナ、サービス、ソフトウェアバージョン。
• 認証済みスキャンと未認証スキャン。
• パッシブな資産発見と外部攻撃対象領域のマッピング。

VMプログラムが失敗する最も一般的な理由は、インベントリが不完全なことです。

評価では、生の検出結果を検証し、文脈を加えます。スキャナーがCVEを報告した場合、次の点を確認します。

• 実際に攻撃可能な状態か、それとも偽陽性か。
• 対象のコンポーネントが実際に使用され、到達可能な状態か。
• 技術的な深刻度とビジネス上の文脈はどのようなものか。

このフェーズでは、ノイズの多いスキャン出力を、信頼できて対応につながる検出結果に変換します。

修正できる余力よりも、脆弱性の数のほうが常に多くなります。優先順位付けによって、限られた是正作業を最も高いリスクに対して先に行えるようにします。

適切な優先順位付けでは、深刻度（CVSS）、悪用される可能性（EPSS）、既知の実際の悪用（KEV）、資産のビジネス価値や露出度を組み合わせます。CVSSだけを基準にパッチを適用すると、理論上の問題に労力を費やす一方で、現実の脅威への対応が後回しになります。

是正によって、問題を解消します。一般的な優先順位の高い順に、次の選択肢があります。

• 脆弱なソフトウェアにパッチを適用する / アップグレードする。
• 緩和する / 設定を変更する（機能を無効にする、アクセスを制限する、WAFルールを追加する）。
• 修正が実行できない場合は、正式な承認を得てリスクを受容する。

是正は部門横断的な取り組みです。セキュリティ部門が問題を特定し、通常はIT/Dev/Opsが修正を適用します。

完了と記されたチケットは証拠にはなりません。検証では、再スキャンまたは再テストを行い、脆弱性が実際に解消され、リグレッションが発生していないことを確認します。

検証を行わなければ、ダッシュボードは実態を正しく示しません。チームがチケットを閉じても、露出が続いている可能性があります。証拠によって対応のサイクルを完了させることが、プログラムを信頼できるものにします。

年次または四半期ごとのスキャンでは、長期間にわたって盲点が残ります。現代のVMは継続的です。新しい資産、新しいコード、新しいCVEが毎日発生するためです。

CI/CD、イメージのビルド、クラウドのプロビジョニングにスキャンを統合し、脆弱性を早期に検出できるようにします。ライフサイクルを、負荷の大きい一括処理ではなく、常に実行されるものにしてください。

VMを機能させるには、責任の所在を明確にする必要があります。

• セキュリティ部門は、スキャン、優先順位付け、レポート作成を実施します。
• IT / DevOpsは、資産へのパッチ適用と設定を担当します。
• アプリケーションチームは、コードレベルの問題と依存関係の問題を修正します。
• リスク所有者は、例外を承認し、残存リスクを受容します。

すべての検出結果には明確な担当者と期限を設定する必要があります。そうでなければ、対応は停滞します。

検出結果の件数だけでなく、プログラムの成果を測定します。

• 深刻度別の平均修復時間（MTTR）。
• SLA遵守率。
• 時間の経過に伴う未解決と解決済みの推移。
• カバレッジ（スキャン済み資産の割合）。
• 再オープン / 再発率。

経過期間別の区分を追跡し、古い重大な脆弱性が気づかれないまま長期滞留しないようにします。

すべての脆弱性を速やかに修正できるとは限りません。正式な例外プロセスでは、次の事項を記録します。

• 修正を延期する理由。
• 実施している補完的な対策。
• リスクを受容するリスク所有者。
• 再レビューを必須にする有効期限。

例外には必ず期限を設定してください。期限のない例外は、無視されたリスクにすぎません。

ライフサイクル自体が改善され続けるべきです。検証と指標を使って、1つのライブラリに起因するCVEの再発、対応の遅いチーム、スキャンの空白など、構造的な問題を見つけます。

その結果を発見（より優れたカバレッジ）、優先順位付け（調整した閾値）、是正（自動化、ゴールデンイメージ）に反映します。VMの成熟度は、このループをどれだけ速く、確実に回せるかで測定されます。

最終フェーズの目的を確認します。

VMのライフサイクルは継続的なループです。資産と脆弱性を発見し、評価・検証し、実際のリスクに基づいて優先順位を付け、パッチ適用・緩和・受容によって是正し、修正が維持されていることを検証します。明確な責任の所在、SLA、指標、期限付きの例外によって、運用の実効性を保ちます。

次は、発見の基盤であるスキャンと正確な資産インベントリの構築について詳しく学びます。