XLOOKUPは、検索する値を指定したセルの範囲で縦方向に検索し、一致したセルの右側のセルにある列の値を返す関数だ。基本構造は以下の通りで、覚えておくと便利だろう。

　では、XLOOKUPを使って、脆弱性情報リストとIT資産リストの突合を高速化させるための手順を見てみよう。

　本稿で解説する手順では、以下の2つのシートが同一のExcelファイル内に存在することを前提とする。

1. IT資産リスト（シート名：「IT資産」「Asset」など）
   • 社内のIT資産情報を管理するメインのシート。
   • 製品名（B列）、バージョン（C列）を含む。
   • 脆弱性情報を書き込むD列（該当CVE）とE列（CVSS）を空欄で用意しておく。
2. 脆弱性リスト（シート名：「Vuln」）
   • IPAなどの外部情報源から取得した脆弱性情報を管理するシート。
   • 1行につき1つのCVE-IDを記述する。
   • 製品名（A列）、バージョン（B列）、CVE-ID（C列）、CVSSスコア（D列）を含む。

ステップ1：製品名とバージョンで CVE-IDを引き当てる

　ITベンダーなどによって脆弱性情報が公表されたら、脆弱（ぜいじゃく）性識別子「CVE」（Common Vulnerabilities and Exposures）が割り当てられる。ステップ1では、IT資産リストのD2セル（該当CVE）に以下を入れる。

　「B2&"-"&C2」はIT資産リスト側での結合キーを作り、「Vuln!$A:$A&"-"&Vuln!$B:$B」は脆弱性リスト側でも結合キーを作成する。この式は、同じキーをもつ行のCVE-ID（Vuln!$C:$C）を返し、見つからなければ「なし」とする。

　この式を使うことによって、「製品名だけ」「バージョンだけ」では一意にならない場合でも情報を突合できる。パッチ（修正プログラム）適用対象の抽出が一瞬で終わることも、この式を利用するメリットだ。

ステップ2：複数のCVEがある製品にも対応する方法

　1つの製品に複数の脆弱性が存在するケースがある。その場合、XLOOKUPで最初の1件しか返せない。このときは、XLOOKUPをFILTER関数と組み合わせることで、複数の脆弱性への対応が可能になる。IT資産リストのD2セルに以下を入れる。

　この式のメリットは、特定のIT資産の全CVEを1セルにまとめて表示できることや、「優先度順に並べる」「重大な脆弱性のみ抽出」といった拡張ができることだ。

ステップ3：最も深刻なスコア（最大CVSS）を同時に引き当てる

　脆弱性には、その危険度を10段階で示す「CVSSスコア」が付けられる。CVSSは「Common Vulnerability Scoring System」の略だ。セキュリティ担当者はCVSSスコアを見れば、対応の緊急性について判断しやすくなる。このステップでは、IT資産リストにE列（CVSS）を追加し、E列に以下を入れる。

　この式によって、該当する全ての脆弱性の中から最も深刻なもの（最大CVSSスコア）を取得する。