CISAによる悪用済み脆弱性（KEV）の公開が示すリスクベースの脆弱性管理と自社での確認ポイント

解説

現在、サイバー攻撃の巧妙化に伴い、脆弱性によるリスク管理はますます重要になっています。米国CISAなどから、実際に悪用が確認された「Known Exploited Vulnerabilities (KEV)」という仕組みを広範囲な組織への推奨として提示しています。

これは、単に多数の脆弱性を網羅的にパッチ適用するのではなく、「今、攻撃に使われているか」という観点を取り入れ、対応すべき脆弱性の優先順位を見直す必要があることを示唆しています。

ポイント

• CISAが、実際に攻撃に使われたことが確認された脆弱性を「KEVカタログ」として公開・管理している。
• 連邦政府向けガイドラインに基づき、企業に対しハイリスクな悪用済み脆弱性への迅速な対応と、リスクベースの脆弱性管理の導入を推奨している。
• 組織は自社で発見した悪用可能性のある脆弱性についても、提言を通じてカタログ追加を目指すことができる。

情シスへの影響

本記事は特定の製品やシステムに対する緊急のパッチ適用を指示するものではありませんが、「リスクベースの脆弱性管理」という考え方を提示しています。

これにより、情報システム部門は、単にCVE番号に基づいた網羅的なパッチ適用を行うだけでなく、実際に攻撃に使われているか（悪用されているか）という視点を取り入れ、対応すべき脆弱性の優先順位を決定する必要が生じます。

特に「侵入後にシステム全体を掌握できる」といった深刻な影響度の判断基準に基づき、対策の緊急度と範囲を見直すことが求められます。

影響範囲

広範なITインフラストラクチャ（ネットワーク機器、サーバーOS、アプリケーション層）。適用されるべきは特定バージョンではなく、「攻撃に使われる可能性のある全ての公開資産」および「システム全体を掌握できる脆弱性を持つ資産」。

重要度

★★★★☆

対象者

• セキュリティ担当者

優先度

計画的に対応

優先度の理由

本記事は指針の提示であり、即時の緊急パッチ適用を指示するものではないため「今すぐ対応」ではありません。しかし、「悪用されているか」という視点は、脆弱性管理のあり方を根本的に変えるレベルの重要情報です。したがって、既存の脆弱性対策プロセスを見直し、リスクベースアプローチを取り入れる計画策定（パッチ適用順序の見直しなど）が必要なため「計画的に対応」と判断しました。

確認手順

• CVEが公開されている自社の資産リスト全体を洗い出す。
• 各脆弱性について、NVDやCISAなどの信頼できる情報源から「実際に悪用された事例（Exploitation Evidence）」の有無を確認する。
• 資産ごとに、脆弱性が指摘する場合に想定される影響範囲（例：限定的な機能停止か、システム全体の掌握か）を評価し、対応優先度を再評価する。
• 発見した潜在的なリスクが高い資産について、現行の設定やアクセス制御ポリシーの監査を実施する。
• CISAのKEVカタログの公開状況を定期的に監視する仕組みを構築するか検討する。