CVSS頼みはもう終わり　悪用まで「数時間」のAI時代に情シスが捨てるべき常識：全件修正を脱し悪用リスク重視の動的防衛へ

脆弱性の公開から悪用までがわずか数時間に短縮されたAI時代、従来のCVSSスコアに基づく全パッチ適用は限界を迎えている。情シスが今取るべき悪用リスク重視の優先順位付けと動的な防御戦略を解説する。

LINE

Hatena

　企業はパッチ管理についての従来の前提を見直す必要がある。特にAIの時代では、サイバーリスクの優先順位付けや修正、管理の方法を変えなければならない。

　2019年以降、脆弱性の公表から悪用が確認されるまでの平均時間は、数カ月から数時間へと劇的に短縮した。CISO（最高情報セキュリティ責任者）とそのチームがリスクを評価し、修正の優先順位を決め、重要資産を保護する時間は大幅に減っている。CVSS（共通脆弱性評価システム）スコアだけでは現実のリスクを示せない。悪用可能性や資産の重要性といった指標がなければなおさら意味を成さない。

　現在の脆弱性管理は、単にパッチを適用することではない。攻撃者が悪用する可能性の高いリスクを、継続的に特定して削減することが中心となる。本記事では、情シスが今取るべき悪用リスク重視の優先順位付けと動的な防御戦略を解説する。

単なるパッチ適用にとどまらない対応

「脆弱性管理」に関連して読みたい編集部お薦め記事

　DarktraceでセキュリティおよびAI戦略担当シニアバイスプレジデント兼フィールドCISOを務めるニコール・カリニャン氏は、「企業は脆弱性管理を、パッチ適用で終わるプロセスとして扱うのをやめるべきだ」と指摘する。

　代わりに、セキュリティリーダーは悪用可能性やリスクの露出度、資産の重要度に基づいて対応の優先順位を付ける必要がある。パッチ適用が遅れた場合に、悪用を検知して封じ込める企業の能力も考慮すべきだ。「企織はリスクの露出箇所や正常な挙動の基準を把握しなければならない。不審な活動を特定し、重大なインシデントに発展する前に自律的に対処できるかが問われている」とカリニャン氏は語る。

米政府機関の動きにならう

　この変化は米国の連邦民間行政機関ですでに始まっている。米サイバーセキュリティ・社会インフラ安全局（CISA）は、AIを用いた脆弱性発見や攻撃コード開発という新たな脅威に対応するため、「CISA BOD 26-04」という拘束的運用指令を発令した。同指令は、従来の深刻度に基づくパッチ管理をリスクベースのモデルへ切り替えるもので、アクティブな悪用状況、インターネットへの露出、攻撃の自動化可能性、被害の影響度などを考慮するよう義務付けている。

　同指令は、最もリスクの高い脆弱性を3日以内に修正するよう要求している。重要な点として、優先度の高い脆弱性を修正した後、システムがすでに侵害されていないか確認する完全なフォレンジック調査が義務付けられた。

　この動きは、技術的な深刻度だけでは修正判断のガイドとして不十分だという認識を表している。企業は、脆弱性が悪用される確率と、攻撃が成功した場合の業務への影響を併せて評価する必要がある。

CVSSに文脈を加える

　脆弱性管理の手法が進化しても、CVSSは初期のリスク優先順位付けに役立つ。Black Kiteでシニアバイスプレジデント兼サイバーリスク戦略担当を務めるジェフリー・ウィートマン氏はそう指摘する。ただし、追加の文脈が必要となる。特にEPSS（Exploit Prediction Scoring System）が示す「今後30日以内に悪用される確率」などの指標が重要だ。パッチ適用の判断では、自社環境の業務面や財務面への影響についての情報を集めなければならない。

　AIによる脆弱性発見の速度を踏まえると、意識の転換が必要だ。「全てのパッチを当てる」発想から、「今すぐ損害をもたらすものに当てる」アプローチへシフトすべきだとウィートマン氏は述べる。「巨大な適用リストを作るのではなく、適切な目標を設定した修正階層を作成すべきだ」

　最も重要なのはビジネスリスクである。技術的リスクや深刻度を考慮する前に、ビジネスリスクにフォーカスすべきだとウィートマン氏は言う。また同氏は、パッチ適用以外の軽減策も推奨している。脆弱性のある機能の無効化、攻撃経路の遮断、資格情報の変更、データアクセスの監視などだ。「パッチ管理ではなく、パッチインテリジェンスとしてプログラムを構築してほしい」と同氏は語る。

　Contrast Securityの創業者兼CTO（最高技術責任者）であるジェフ・ウィリアムズ氏は、本番環境での状況を把握する能力への投資を勧める。脆弱なコンポーネントがどのように導入、設定、実行、露出されているかを素早く確認するためだ。そのデータは一律に適用される一般的なCVSSスコアよりもはるかに価値があると語る。

　OWASPの共同創業者でもあるウィリアムズ氏は「CVEのベーススコアだけで判断を止めるべきではなかった。本当の価値は、技術的な深刻度、脅威インテリジェンス、環境の文脈、ビジネスへの影響を組み合わせることで生まれる。AI主導の脅威環境では、この全体像がこれまで以上に重要になる」と説明する。

　これらの詳細を把握した後のステップは、未対処の脆弱性を解消し、セキュア開発を強化して脆弱性の流入を減らすことだ。それに続くステップは、脆弱性の存在を前提とすることである。修正作業中も悪用を防ぐランタイム保護を導入する。

挙動分析への注力

　既知の攻撃シグネチャや過去の攻撃手法に頼る検知モデルは以前から不十分だったが、AI時代にはさらに効果が薄れる。AIを使えば、攻撃者は検知ルールの作成スピードを超える速さで新しい攻撃コードやその変種を作成できるからだ。

　そのため、企業は挙動検知アプローチへの依存度を大幅に高める必要がある。システムやユーザーの正常な活動からの逸脱を特定する手法だ。既知のシグネチャがない場合でも、不審な認証パターン、異常なプロセス挙動、不審なデータアクセスを監視する。ネットワークのセグメント化や最小権限アクセスの徹底といった補償コントロールも重要だ。これはパッチ適用が遅れた場合の緩和策ではなく、第一線の防御層として位置付けるべきである。資格情報の範囲制限やアプリの許可リスト化などは目新しくないが、必須の技術となりつつある。

　カリニャン氏は「企業は可視性の拡張、挙動分析、異常検知、自律的調査、自律的封じ込めに投資する必要がある。エンドポイント、ネットワーク、クラウド、アイデンティティー、SaaS、重要インフラ全体が対象だ」と語る。

　防御側はアプローチを従来のやり方から異常な挙動の特定へと変えなければならない。現在、企業が防ぐべき対象はソフトウェアの欠陥だけにとどまらない。資格情報の盗難、人為的ミス、内部脅威、設定ミス、AIツールの誤用、新たなリスクをもたらすAIシステムなど、全てをセキュリティモデルに含める必要がある。

　「システムに素早くパッチを適用できない場合でも、攻撃の試みを検知し、マシン速度で封じ込める必要がある」とカリニャン氏は強調する。

継続的な脆弱性管理

　FortiGuard Labsで高度脅威インテリジェンス担当シニアディレクターを務めるダグラス・ジョゼ・ペレイラ・ドス・サントス氏は、パッチ管理を定期運用として捉えるのをやめるべきだという。リスクの露出を継続的に管理することに注力すべきだと主張する。

　実現には構造的な移行が必要となる。例えば、修正のSLA（サービス品質保証）は、悪用される確率、資産の露出、ビジネスへの影響などを組み合わせたリスクシグナルに基づいて設定すべきだ。脅威インテリジェンスは、脆弱性が判明した初期段階のトリアージ判断に組み込む必要がある。後から別の部署で個別に行う補強作業にしてはならない。同様に、補償コントロールも一時的な回避策ではなく、正式なリスク軽減策として扱う必要がある。

　ドス・サントス氏は「求められる運用の移行は、予防を第一とする姿勢から、レジリエンス（回復力）を根本的な設計原則とする姿勢への転換だ」と語る。同時に、ある程度の侵害が発生することを前提とし、攻撃を迅速に検知・封じ込めできる環境を構築しなければならない。