CISAによるKEVカタログへの脆弱性追記：外部公開資産の既知悪用リスク特定と対応計画の見直し

解説

外部に公開しているIT資産を巡る脆弱性リスクは、情シス部門にとって常に最大の懸念の一つです。サイバー攻撃の手口も巧妙化しており、「単なる潜在的な弱点」ではなく「現在進行形で悪用されているか」という観点からのリスク評価が求められています。

近年、米国国土安全保障省傘下のCISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）から、既知の悪用済み脆弱性に関する情報発信が増加しています。これに伴い、修復を最優先で検討すべき脆弱性の情報をまとめた「KEVカタログ」に新たな項目が追加されています。

ポイント

• CISAが新たな既知の脆弱性を「KEVカタログ」に追加したため、利用者はリスクの高い脆弱性の特定と対応が求められています。
• BOD 26-04に基づき、連邦政府機関は外部公開資産での高リスク脆弱性への迅速な修復を義務付けられています（他組織には推奨）。
• 全ての組織に対し、KEVカタログの脆弱性を最優先で対処する「リスクベースの脆弱性管理」が推奨されています。
• 悪用されている可能性のある脆弱性を見つけた場合は、CISAへ提出するフォームが用意されています。

情シスへの影響

CISAによるKEV Catalogへの追加情報は、情シス部門に対し、自社システムが抱える既知のリスクを特定するための最重要なインプットとなります。

まず、外部に公開されている全ての資産（Webサーバー、VPNゲートウェイ、クラウドサービスのエンドポイントなど）について、対応すべき脆弱性の洗い出しと優先順位付けを行う必要があります。単なるCVEの存在確認ではなく、「悪用が既に始まっている可能性」という観点からのリスクアセスメントが必要になります。

修復計画においては、KEV Catalogに記載された製品・バージョンの適用状況を網羅的にチェックし、該当する脆弱性があれば、その影響度（特にシステム制御権の奪取につながるか）に基づいて対応リソースを割り当てる必要があります。さらに、過去にパッチ適用が行われた履歴や、攻撃兆候の有無といった運用ログの調査も必須となります。

影響範囲

外部インターネットに公開されている全てのIT資産およびサービス。

影響を受ける領域：OS層、ミドルウェア（Webサーバ、DB等）、ネットワーク周辺機器、クラウド環境のエンドポイントなど。

対象バージョン/設定：CISAのKEV Catalogに記載された製品・バージョン。自社所有または利用している全てのソフトウェアコンポーネント（要確認）。

影響を受けるユーザー：全利用者。

管理領域：パッチ適用管理、脆弱性アセスメント、インシデントログ監視。

重要度

★★★★★

対象者

• セキュリティ担当者
• ネットワーク管理者
• M365管理者

優先度

今すぐ対応

優先度の理由

KEVカタログの脆弱性は「現在アクティブに悪用されている」ことが根拠となっており、単なる推奨事項ではなく即座に対応が求められるレベルです。網羅的な資産棚卸しと、該当パッチの適用可否を最優先で確認する必要があります。

確認手順

• CISAのKEV Catalogの最新リストを取得し、記載されている製品・バージョンを特定する。
• 自社の外部公開資産（Web/VPN/APIなど）が、カタログに挙げられた影響を受ける全てのコンポーネントを利用していないか棚卸しを行う。
• 利用中のコンポーネントについて、具体的な脆弱性IDと対応必須のパッチ（緊急更新）の有無を確認する。
• ファイアウォールやWAFなどの境界防御策において、既知の悪用パターンをブロックするための追加ルール設定が可能か検討する。
• 影響を受けるシステム周辺のログや監視アラートに、異常なアクセス試行や振る舞いの兆候がないか緊急調査を行う。