脆弱性管理とは？ 脆弱性を放置するリスクと管理するメリットを解説

脆弱性管理とは、脆弱性情報を調査・収集し、脆弱性を解消するプロセスのこと

脆弱性管理とは、組織で利用しているシステムやソフトウェアの脆弱性情報を調査・収集し、脆弱性を解消するまでのプロセスを指します。脆弱性とは、システムやソフトウェアに生じるセキュリティ上の欠陥だけでなく、管理体制などを含めたシステム全体の弱点のことです。開発工程で把握されていなかった不具合や、新たな攻撃手法の台頭などが脆弱性につながる主な原因となります。

新たな脆弱性は、頻繁に発見される可能性があることに加え、発見された脆弱性が組織に与える影響の大きさや深刻度は、どの組織にとっても一律ではありません。そのため、脆弱性を適切に管理することが、組織のセキュリティを維持していく上で重要な課題となります。

脆弱性管理と脆弱性評価の違い

脆弱性管理と脆弱性評価はよく似た用語ですが、それぞれ指し示している内容が異なります。脆弱性評価とは、組織内にどのような脆弱性が潜んでいるかを調査し、特定することです。脆弱性管理を適切に実施するには、複数の脆弱性評価を行うことでできるだけ多くの情報を収集しなければなりません。つまり、脆弱性評価は、脆弱性管理を適切に実施していくための手段といえます。

脆弱性管理が必要な背景

脆弱性管理が不十分だったり、実施されていなかったりした場合、組織で使用するシステムやソフトウェアに脆弱性が生じている事実を適切に把握できません。このような状況が続けば、サイバー攻撃を仕掛ける犯罪者に脆弱性を発見される可能性が高まります。サイバー攻撃の標的になると、機密情報の漏洩や業務停止といった重大なセキュリティインシデントへとつながり、組織の安定的な運営や対外的な信頼性が揺らぐことにもなりかねません。脆弱性管理を適切に実施していくことは、組織の安定した運営と信頼性の維持のために欠かせない要素といえます。

脆弱性管理を適切に行わない場合のリスク

組織において脆弱性管理が適切に行われていない場合、どのようなリスクを抱えることになるのでしょうか。想定される主なリスクとして、下記の4点が挙げられます。

ネットワーク侵入の危険性が増す

システムやソフトウェアの脆弱性は、悪意ある第三者にとって格好の侵入経路となります。サイバー攻撃を画策する犯罪者は、こうした脆弱性を常に探し回っているからです。脆弱性を突いて組織内ネットワークに侵入された場合、重要なデータを破壊されるなど、さまざまな不利益を被る危険性が増します。さらには、端末や機器を乗っ取られて新たなサイバー攻撃の踏み台にされるなど、自社が犯罪に加担させられることにもなりかねません。

データ窃取のリスクが高まる

脆弱性管理が適切に行われていない組織は、攻撃者の標的となりがちです。攻撃者は組織が保有する機密情報や個人情報を盗み出し、流出させる恐れがあります。さらには、組織の重要なデータを入手したことを楯に金銭を要求されたり、盗み出したデータを不正に売却されたりする可能性も否定できません。

マルウェア感染の可能性が高まる

脆弱性が放置されていると、ウイルスやトロイの木馬、ワーム、スパイウェアといったマルウェアへの感染リスクも高まります。脆弱性そのものが悪意あるプログラムの侵入を許す原因となるだけでなく、マルウェアに感染した際の被害が拡大しやすくなることも懸念される点の一つです。大規模なマルウェア感染が発生すれば、多方面の関係者に甚大な被害を与えることにもなりかねません。

情報改ざんのリスクが高まる

脆弱性の把握やその対処が不完全な状態は、攻撃者による情報改ざんの被害に遭うリスクを高める要因にもなります。例えば、端末や機器の設定を不正に書き換えられてしまい、攻撃者による遠隔操作が可能な状態になることは、想定される懸念の一つです。また、自社Webサイトの一部が改ざんされ、不正なリンクを設置されてマルウェアなどの感染源になることもあります。こうした事態を防ぐため、脆弱性管理を適切に実施することが重要です。

脆弱性管理のメリット

脆弱性管理を適切に実施していくことは、組織にさまざまなメリットをもたらします。具体的なメリットとして挙げられるのは、下記の3点です。

セキュリティが向上する

脆弱性管理が適切に行われることのメリットの一つは、セキュリティを向上させ、攻撃者による侵入を困難にさせることです。例えば、組織内のすべての端末・機器を定期的にスキャンすることにより、脆弱性を速やかに発見して更新プログラムを適用することもできます。このように、脆弱性管理は組織が攻撃者のターゲットとなるのを防ぎ、容易に攻撃できない状態を維持していくことにつながります。

セキュリティ対策状況が可視化される

セキュリティ対策状況が可視化されることも、脆弱性管理のメリットです。組織に潜む脆弱性の状態は刻々と変化しているため、ある時点で脆弱性が見つからなかったからといって、それ以降も安全とは限りません。セキュリティ対策状況をリアルタイムで把握できれば、新たな脆弱性が生じた際にはいち早く察知し、必要な対策を講じることも可能です。

オペレーションの効率化につながる

適切な脆弱性管理を実施することにより、万が一インシデントが発生した際に、迅速かつ適切に対処でき、オペレーションを効率化できることもメリットといえます。脆弱性管理をしていれば、システムが正常化するまでの時間を最小限に抑えることができ、組織にとっての重要データを保護できる確率が高まります。

脆弱性管理の進め方

脆弱性管理は、どのように進めればよいのでしょうか。基本的な進め方の各プロセスを理解して、脆弱性管理を適切に実施していくことが大切です。

1. 脆弱性の発見

脆弱性の発見は、脆弱性管理において中心に位置づけられるプロセスです。組織内の端末・機器に潜在的な脆弱性が潜んでいないか、脆弱性スキャナーやソフトウェアを使用して調査します。また、実際にシステムに侵入してみるペネトレーションテストを実施して脆弱性評価を行い、スキャナーやソフトウェアが見逃している脆弱性が残されていないかを確認しておくことも重要です。

なお、新たな脆弱性が発見されるごとに、アメリカの非営利団体MITRE社がCVE（Common Vulnerabilities and Exposures：共通脆弱性識別子）を提供し、脆弱性検査ツールや脆弱性対策情報提供サービスなどに反映させています。

2. 脆弱性の分類と優先順位づけ

脆弱性が発見された場合には、脆弱性のタイプごとに分類して対処方法を検討します。具体的な分類方法としては、端末の設定ミスや暗号化の問題、機密データの漏洩などです。さらに、脆弱性の重要度に応じて優先順位をつけ、重要度の高いものから優先的に対処していくことになります。脆弱性の重要度や悪用されるリスクが高いもの、攻撃につながる可能性が高いものほど優先順位を高く位置づけるのが一般的です。

3. 脆弱性の解決策を検討・実行

対応すべき優先順位の高い脆弱性から順に解決策を検討し、実行していきます。主な解決方法は「修正」「緩和」「受容」の3種類です。

■脆弱性に対する解決策の種類と概要

解決策の種類	概要
修正	・脆弱性の原因を修正する ・脆弱性の発生源に更新プログラムを実施する ・脆弱性の解決策として最も理想的
ウイルス	・脆弱性が悪用される可能性と影響を軽減させる ・修正の対応が困難な場合に講じる一過性の対策
トロイの木馬	・特に対処はせず、リスクを受け入れる ・脆弱性が低リスクであり、悪用された場合の損失よりも修正コストのほうが高い場合の対応

上記のとおり、あらゆる脆弱性を修正によって解決できるとは限りません。場合によっては、脆弱性が認められるアプリケーションを無効にするなど、柔軟に対応する必要があります。

4. 脆弱性が軽減されているか再評価

脆弱性の解決策を講じたことにより、実際に脆弱性が軽減されているかどうかを再評価します。また、新たな脆弱性が生じていないか確認しておくことも重要です。

5. 脆弱性への対応についてレポートを作成

脆弱性管理に活用される脆弱性スキャナーやソフトウェアのレポート機能を活用し、一連の対応についてレポートを作成します。定期的に脆弱性評価を実施し、時系列で脆弱性の発生・対応状況を記録することで、修正対応に必要な手法を過去にさかのぼって確認できるようにしておくことが大切です。

脆弱性管理はあらゆる組織にとって必要な取り組み

あらゆるOSやソフトウェアは、新たな脆弱性が発見されるリスクを抱えています。IT資産を保有している組織にとって、脆弱性管理は不可欠な取り組みです。脆弱性が放置されることのないよう、必要な対応を早期に講じる必要があります。

クライアント運用管理ソフトウェア「SKYSEA Client View」は、脆弱性管理に役立つ機能を搭載しています。「SKYSEA Client View」の管理下にある端末にインストールされたソフトウェアを管理するとともに、そのソフトウェアとJVN（Japan Vulnerability Notes）が提供する脆弱性情報をひもづけ、最新の脆弱性情報をタイムリーに取得できます。セキュリティ更新プログラムの適用やアップデートは、複数の端末へ一斉に実施可能です。

また、「SKYSEA Client View」そのものに対し、脆弱性に関する外部からの検査を行うとともに、脆弱性の診断結果を公表しています。各種脆弱性に関する情報もいち早く提供し、お客様が安全に商品をご利用いただける環境を常にご用意しています。

脆弱性管理に不安を抱いている事業者様は、ぜひ「SKYSEA Client View」の導入をご検討ください。