脆弱性管理とは

脆弱性管理とは

脆弱性の脅威はよく知られており、ソフトウェアメーカーはこれらの問題をできるだけ早く修正するための措置を講じています。 ただし、これらのパッチまたは更新プログラムは、脆弱性を修正するために適用された場合にのみ役立ちます。

脆弱性管理は、脆弱性を検出、トリアージ、修正、および報告するプロセスです。 多くの場合、脆弱性は更新プログラムを適用することで修正されます。ただし、これは複雑なプロセスになる可能性があり、更新プログラムが常に利用できるとは限りません。 組織全体で脆弱性を大規模に管理するには、明確に定義されたスケーラブルなプロセスが必要です。

脆弱性管理プロセス

脆弱性を大規模に管理するには、適切に設計されたプロセスが必要です。 このプロセスは、次の 5 つのステップに分けることができます。

#1.識別

組織は、存在を知らない脆弱性に対処することはできません。 脆弱性管理プロセスの最初のステップは、注意が必要な脆弱性を特定することです。

脆弱性はさまざまな方法で発見できます。 脆弱性の自動スキャンにより、いくつかの脆弱性が見つかる場合があります。詳細なペネトレーションテストやレッドチームエンゲージメントにより、他の人を特定できる場合があります。 サイバーセキュリティ評価を実行した後、組織は管理すべき潜在的な脆弱性のリストを持っている必要があります。

#2.トリアージ

脆弱性管理は、リソースを大量に消費する可能性があります。 パッチ適用によって脆弱性を修正する場合、セキュリティチームはパッチを見つけてテストし、大規模に適用し、パッチが機能し、追加の問題が発生しなかったことを確認する必要があります。 多くの場合、組織の環境内の脆弱性の数は、それらを修復する能力を超えています。 また、場合によっては、修復のコストが、修復がもたらす潜在的なリスクと、修復することの利点を上回る可能性があります。

そのため、脆弱性管理プロセスの 2 番目のステップはトリアージです。 セキュリティ チームは、未解決の脆弱性の一覧を確認し、リスク、影響、修復コストに基づいて優先順位を付ける必要があります。 これにより、リスクの軽減と投資収益率を最大化するためにリソースを割り当てることができます。

#3.解決

検出した脆弱性ごとに、何らかの方法で解決を実行する必要があります。 状況に応じて、組織は次のようないくつかのアプローチのいずれかを選択できます。

• 修復： 修復には、脆弱性を完全に閉じることが含まれます。 たとえば、ベンダーが提供する更新プログラムを適用すると、製品のプログラミング エラーが修正される場合があります。
• 緩和： 緩和策は、脆弱性の悪用可能性または影響を軽減します。 たとえば、組織はファイアウォールとネットワーク セグメンテーションを使用して、攻撃者が脆弱なソフトウェアに到達するのをより困難にすることができます。
• 受理： 組織が対処できない、または対処しない影響の少ない脆弱性については、受け入れることが唯一の選択肢です。 脆弱性によっては、攻撃に対する組織のリスクと脆弱性が高まる可能性があります。

#4.再評価

脆弱性を修正しようとするセキュリティ チームの試みは、効果的でないか、新しいセキュリティ リスクをもたらす可能性があります。 脆弱性を解決した後、チームは別の脆弱性スキャンまたはセキュリティ評価を実行して、脆弱性が実際に閉じられていることを確認する必要があります。

#5.報告と改善

脆弱性と管理作業の追跡は、さまざまな理由で重要です。 たとえば、軽減された脆弱性や受け入れられた脆弱性は、依然として攻撃に対して脆弱である可能性があります。 また、脆弱性の追跡とレポートは、サイバーセキュリティへの投資に対する明確なROIを示しています。

ふりかえりとレポート作成の過程で、セキュリティ チームは学んだ教訓を引き出すことも検討する必要があります。 これは、セキュリティ制御、プロセス、または監視を改善して、将来同様の脆弱性から保護する機会を特定するのに役立つ場合があります。