CISAによる既知の悪用脆弱性カタログへの追加情報と、対応方針の見直し

解説

近年、サイバー攻撃の脅威は年々高度化し、特に「既に悪用されている」ことが確認された脆弱性は重大なリスクとなっています。米国サイバーセキュリティ機関（CISA）が維持する『既知の悪用脆弱性カタログ（KEV）』は、この点に着目し、現在活発に攻撃に使われている脆弱性の情報を集約的に公開しています。

この動きを背景に、米連邦政府のエージェンシーに対し、セキュリティ対策に関する指針（BOD 26-04）が強化され、「深刻なリスクを持つ脆弱性」の迅速な修正（パッチ適用など）を強く求めるようになっています。具体的には、KEVカタログに載る重大な脆弱性を最優先し、他の低リスクなものは後回しで良いという「リスクベースのアプローチ」が義務付けられています。

これは、企業や組織全体に対しても推奨されており、我々民間企業もこの考え方を導入し、対応の優先順位を明確化することが求められる水準にあります。万が一、まだカタログに載っていないものの悪用されている脆弱性を発見した場合は、CISAを通じて報告する仕組みも提供されています。

組織全体として、脅威情報に基づいた危機管理型の脆弱性対策へとシフトする必要があると感じられます。

ポイント

• CISAが、現在実際に攻撃に使われている脆弱性をカタログに追記しています。
• これに伴い、連邦政府レベルで脆弱性の深刻度に基づく優先的な修正対応（リスクベース）が求められています。
• 民間企業もこの動向を参考にし、対応の重点化と情報の早期共有体制の構築が必要です。

情シスへの影響

1. 資産の棚卸しと公開状況の確認

• 内部で使用しているシステムのうち、外部からパブリックにアクセス可能な資産（ウェブサーバー、APIエンドポイントなど）を再点検する必要があります。

• どのサービスがどのような脆弱性に晒されているか、網羅的な把握が求められます。

2. パッチ適用とリスク評価の組み込み

• 発見された全脆弱性について、単なるCVSSスコアではなく、「現在実際に攻撃に使われているか（KEV相当）」という視点での優先順位付けが重要になります。

• パッチ適用作業において、影響度と緊急性の掛け算で対応計画を立てる必要があります。

3. ログ監視の強化と体制構築

• 脆弱性が悪用された後の「被害拡大や侵害の可能性」を確認するためのログ調査（侵入痕跡の確認）が必須となります。

• システム稼働後だけでなく、攻撃試行があったかどうかを遡って検証するプロセスを手順化し、実行可能な状態にしておく必要があります。

重要度

★★★★☆

対象者

• セキュリティ担当者
• ネットワーク管理者
• Windows管理者
• Linux管理者

優先度

早めに対応