CISAによる既知の悪用脆弱性カタログへの追加と、組織におけるリスクベース管理の重要性

解説

近年、サイバー攻撃の手法は高度化し、特に「既に悪用が確認されている脆弱性」を狙った攻撃が増加傾向にあります。それらの脆弱性は、企業や政府機関にとって重大な脅威となるため、セキュリティコミュニティからはこれらを早期に特定し、対策を講じることが強く推奨されています。

米国のCISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）は、実際に悪用が確認された脆弱性を「既知の悪用脆弱性カタログ」（KEV Catalog）に追加しています。この動きは、連邦政府機関に対して、リスクが高いとされる特定の脆弱性の修復を最優先で行うよう義務付けています。

これは、単に脆弱性を発見するだけでなく、「実際に攻撃者が利用しているか」という実証的な根拠に基づいて対応の優先順位を決める「リスクベースの脆弱性管理」が重要視されていることを示しています。企業にとっても、この考え方を導入し、緊急性の高いセキュリティ更新を迅速かつ計画的に実施する必要性が高まっています。

今回の動きを受け、全組織において、単なるCVE番号での対応ではなく、実際の攻撃状況や深刻度に基づいた対策検討が求められます。

ポイント

• CISAが、実際に悪用されている脆弱性のみを厳選した「既知の悪用脆弱性カタログ（KEV）」の情報を更新し、公開しています。
• この動向は、組織に対し、すべての脆弱性を均等に扱うのではなく、「実証されたリスク」に基づき修復の優先順位をつけることの重要性を高めています。
• 企業全体で、潜在的な脅威だけでなく、現在進行形で攻撃に使われている脆弱性への迅速な対策を計画的に組み込む必要があります。

情シスへの影響

■ 脆弱性対応プロセスの見直しと優先度付け

本件は特定の製品に関するものではなく、「リスク評価の考え方」に関する情報ですが、セキュリティパッチ適用や資産管理において決定的な影響を及ぼします。これまでの「CVSSスコア（技術的深刻度）」に基づく対策から、「実際に攻撃されているか（脅威の存在）」に基づいた対応へのパラダイムシフトが求められます。

具体的には、パッチ適用の判断基準に、CISAなどが公開するような実証的な攻撃情報を組み込む必要があります。これにより、経営層や各部署に対し、どの脆弱性を「今すぐ」対策すべきかという具体的な根拠を提示することが重要となります。

■ 資産の可視化と曝露状況の把握

カタログに掲載された脆弱性に関連するサービスが社内のどこで稼働しているのか（特にインターネットに公開されている接点）を正確に把握することが急務です。単に存在するだけでなく、「外部から攻撃されやすい状態にあるか」という観点で資産を分類し直す必要があります。

■ インシデント対応と予防的対策の強化

もし過去または現在、パッチが適用される前にシステムが侵害された可能性がないか（事前侵害判定）を確認するプロセスやログ監視体制の構築も視野に入れなければなりません。これは高度なセキュリティ運用となり、ネットワークトラフィック分析やEDR/XDRなどのツールを活用した対応が期待されます。

重要度

★★★★★

対象者

• セキュリティ担当者
• ネットワーク管理者
• IT部門責任者
• AD管理者
• Windows管理者

優先度

早めに対応