今週は、 の脆弱性管理 について、リスクに対して先手を打つことの課題とメリットの両面から取り上げます。 その会話の一部をご紹介します。
大きな頭痛の種を避けたいと思いませんか？ システム内の脆弱性をすべて排除しようなどとは、決して考えてはいけません。 「これは極めて不健全な執着です」と、退役軍人が経営するサイバーセキュリティ・コンサルティングサービス企業「True Zero Technologies」のシニアエンジニア、ニック・ブラウン氏は述べています。
「その数字だけを見ていたら、長い間壁に頭を打ち付け続けることになり、きっと痛い思いをするでしょう」と彼は言います。 「最大の誤解は、ゼロになるというものです。」
More than 29,000 common vulnerabilities and exposures – CVEs for short – were documented worldwide in 2023. これを1日あたりに換算すると約 80 件になりますが、実際にサイバー犯罪組織に悪用され、御社にとって深刻な問題となるのは、そのごく一部に過ぎません。
[エピソードの全編をお聴きください：第 16 回 – 脆弱性管理には積極的な取り組みが必要です]
では、毎日、あるいは1時間ごとに新しい エンドポイント（ ）が稼働し始める中で、どのエンドポイントを特定すればよいのでしょうか？ どのように管理し、優先順位をつけていますか？ ブラウン氏は、「重要なのは関連性と重大度であり、単にCVSS（共通脆弱性評価システム）のスコアだけではない」と述べています。
彼はクライアントに次のように語っています。「高リスクの脆弱性も重要ですし、重大な脆弱性も重要ですが、すでに悪用されている脆弱性、あるいは――私が特に気に入っている例ですが――スコアが非常に低く、ずっと前から存在していたものの、リストの最後まで確認する機会がなかったため気に留めていなかった脆弱性が、突然悪用されるようなケースも重要です。」 「それによって、[状況]全体が変わってしまいます。」
「その数字だけを見ていたら、長い間壁に頭を打ち付け続けることになり、きっと痛い思いをするでしょう。」Nick Brown、シニアエンジニア、True Zero Technologies
その他のエピソードはこちら
の「Let's Converge」（）をご覧いただくことで、サイバーセキュリティに情熱を注ぐ、志を同じくする方々のコミュニティに参加することになります。 毎週新しいエピソードをお届けします。収録時間はわずか 20 分ほどですので、何時間も聴く必要がなく、手軽に最新情報をチェックできます。
- Ep. 15: CISOになるのは、今までよりタフで、それを認める時です
- 第 14回：脅威インテリジェンスチームのリーダーシップの取り方 | Tanium
- Ep. 13：最高AI責任者を雇用する必要はありますか？ | Tanium
- あるいは、こちらから過去のエピソードのギャラリーをご覧ください。 – 「 」のデータプライバシーに関する有益かつ示唆に富む議論 （真剣に考えるべき理由）、ChatGPT （過熱した話題と期待）、自動化 （セキュリティ界の知られざる秘訣）、ランサムウェアとの交渉 （支払うべきか、支払わないべきか）、その他にも数多くのトピックを取り上げています。
