攻撃が確認された脆弱性への対応強化：政府機関の動向と組織的対策の重要性

解説

近年、サイバー攻撃の手口は巧妙化し続けており、特に既に実証されている「悪用されやすい脆弱性」を狙った攻撃が増加しています。

こうした背景から、アメリカ合衆国国土安全保障省（DHS）傘下のCISAなどのセキュリティ機関が、実際に攻撃に使われていることが確認された脆弱性のリスト（Known Exploited Vulnerabilities Catalog）の重要性を高めています。

この動きは、特に米国の連邦政府職員エグゼクティブブランチ（FCEB）向けの新しい指針（BOD 26-04）によって強化されました。これにより、連邦機関に対しては、CISAがリストアップした深刻度の高い脆弱性について、他の一般的な脆弱性よりも優先的に迅速な修復措置を講じることが義務付けられています。

ただし、この厳格な要求事項は連邦政府向けのものであり、全ての民間企業に直接適用されるものではありません。それでも、セキュリティ業界全体として、「実際に攻撃に使われている」という事実は、リスク評価と対応の優先順位付けにおいて最も重要な判断基準となることを示しています。

したがって、自社の脆弱性管理体制を見直し、特に既知の攻撃対象となっている項目について早期にパッチ適用や対策を講じる必要があると考えられます。

ポイント

• CISAが実際に攻撃に使われる脆弱性のリスト（KEVカタログ）を強化し、新たな情報を追加しています。
• 連邦政府向け指針により、悪用された脆弱性に対する迅速な対応が強く求められる傾向が顕著です。
• 民間企業を含む全ての組織にとって、リスクに基づいた脆弱性管理と最重要課題への対応優先度が極めて重要です。

情シスへの影響

複数の論点にまたがるため分けて記載します。

【1. 脆弱性情報収集の強化】

これまで以上に、攻撃者が実際に利用していると確認された脆弱性の情報を追跡し、自社資産への影響範囲を特定することが最重要になります。単なるCVSSスコアやベンダーのおすすめによるパッチ適用ではなく、「現在攻撃されているか」という視点でのフィルタリングが求められます。

【2. 修正対応のプロセス見直し】

本来は緊急性が高い事案ですが、この傾向を受けて、脆弱性修復プロセス全般を見直す必要が出てきます。特に、パッチ適用に伴う業務影響評価を迅速に行いつつも、リスクが非常に高い項目については即時対応できる体制（ワークフロー）の構築が必要です。

【3. 監査・証拠保全の重要性】

指針では、パッチ適用前にすでに侵害が発生していないかを確認するプロセスも含まれています。これは、防御的な対策に加えて、「侵害検出と封じ込め」のアクティビティ（対応後のフォレンジック）が必須であることを示唆しており、監視体制やログ収集の仕組みの強化が必要になります。

重要度

★★★★☆

対象者

• セキュリティ担当者
• ネットワーク管理者
• システム管理者

優先度

早めに対応