セキュリティパッチ適用の優先順位

脆弱性に対してセキュリティパッチがメーカーからリリースされます。「たくさんあるが全部すぐにやらないといけないのか？」「何からいつまでにやればいいの？」という質問をよくいただきます。この疑問に対し、CISAが2026年6月10日に「BOD 26-04: Prioritizing Security Updates Based on Risk」で対応優先順位を示してくれました。

CISAとは

Cybersecurity and Infrastructure Security Agency、略してCISAです。米国土安全保障省の外局機関であり、サイバーセキュリティ・物理セキュリティに関するリスクレベル向上・リスク提案・普及を国家レベルで推進する組織です。
後述しますが、実際の攻撃で悪用が確認されたKEV（Known Exploited Vulnerabilities）カタログを公開しているのもCISAです。

リスク評価項目は4つ

リスク評価というと、多くの項目がありそうですが、今回はシンプルに4つだけです。

1. インターネットに公開されている資産か

2. 悪用が確認されている脆弱性か

3. 攻撃者は悪用を自動化できるか

4. 攻撃者は脆弱性悪用後の制御は完全か部分的か

一つ一つ簡単に説明していきます。

インターネットに公開されている資産か

インターネットに公開されている資産というのは、自社のコーポレートサイト（いわゆるホームページ）、通販用のサイトの他、リモートアクセスに使用するVPNといったものが含まれます。攻撃者の多くは、まずはインターネットに公開されている資産をターゲットにします。警察庁のレポートでも、インターネット経由のVPNやリモートデスクトップ用の機器からの侵入が、全体の感染経路の8割を締めています。
VPNやリモートデスクトップの他にも、インターネットに公開されている資産かどうかは、最初の項目となります。

悪用が確認されている脆弱性か

CISAが公開している情報の一つにKEV（Known Exploited Vulnerabilities）カタログがあります。KEVは、攻撃者によって実際に悪用された脆弱性を指し、「カタログ」はCISAが公開された情報にあたります。
脆弱性が公開された場合には、CVE IDが割り当てられます。ご自身で使っている製品でも、脆弱性が公開されると、CVE IDと共に通知がされているはずです。CVE IDをもとにKEVカタログを検索し、対象かどうかを確認します。

Known Exploited Vulnerabilities Catalog | CISA

攻撃者は悪用を自動化できるか

原文では「Exploit Automation: Is an adversary able to automate all the steps necessary to exploit the vulnerability?」となります。
Exploit Automationは、ソフトウェアやシステムの脆弱性を検出し、悪用する攻撃コード（エクスプロイト）の生成・実行までの一連を自動化することです。

攻撃者は脆弱性悪用後の制御は完全か部分的か

攻撃者がシステム全体を掌握できるのか、それとも一部に限定されるのかです。もちろん、全体であればリスクは高くなります。システム構成を把握していないといけないので、自分で考えていかないといけない大変なことですが、ベンダーや公的機関（例えばIPA）などが公開アドバイザリを確認して判断していきます。

対応スケジュール～最短は3日～

対応スケジュールは「3日以内＋侵害調査」「3日」「14日」「60日」「システムアップグレード時に修正」の5つに分かれています。

なお、システムアップグレード時に修正は、脆弱性のある資産が次に予定されているメジャーアップグレードまたは再構築を受ける際に、その脆弱性を修正すべきであることを意味します。

すぐにやっておきたいこと

まずは、情報資産をすべて把握することです。一番大変で、一番つまらない仕事ですが、一番重要です。みえないものは守れません。
リスク評価項目の1にあるインターネットに公開されている情報資産をできるだけ減らすことも重要です。CISAも「Internet Exposure Reduction Guidance（インターネットへの露出低減ガイダンス）」として公開しています。初期攻撃は、今でもVPNやリモートデスクトップが上位を締めていることから、検討したいアクションです。
情報資産を把握し、減らしたあとは、脆弱性を管理していきます。脆弱性管理ツールがどうしても必要となります。

さいごに…「3日以内」は厳しい

一番厳しい「3日以内＋侵害調査」は、非常に厳しい項目です。3日以内は「営業日」ではなく、「3日以内」です。パッチ適用により、不具合が発生する可能性があるわけで、運用担当者からすると現実的なスケジュールではありません。
評価項目の3と4に関しても、判断は難しい。きちんと判断しようとすると、しっかりとした体制が必要となります。
セキュリティのプラットフォーマーは世界中にリソースが分散されていますが、超短時間でパッチ適用を行います。費用はかかりますが、こういったプラットフォームに任せないといけない時代になったのかもしれません。

#丸紅IDIGIO #IDIGIO