世界初のウェブページが公開されてからわずか数週間後の 1991年秋、 50 人の暗号学の専門家たちが、カリフォルニア州の小さなホテルの会議室に集まり、第1回RSAカンファレンス（RSAC）が開催されました。 30年以上が経過した今、ウェブは社会を一変させ、RSACは、拡大し続けるデジタル世界の安全確保に取り組む人々のための中心的な交流の場となっています。
規模が大幅に拡大した今年のRSACは、各国政府や企業のセキュリティ責任者による、サイバーセキュリティ分野における最も重要な発表の数々が相次ぐ中心地となっています。 また、専門家たちが攻撃者より一歩先を行こうと努める上で、重要な議論の場でもあります。
5月 6-9日に開催される「 45,000-person 」カンファレンスは、その規模が非常に大きいため、まるで独自の重力を持ち、開催地であるサンフランシスコのモスコーン・センター周辺で数多くの関連イベントを惹きつけています。 そのイベントの一つでは、Taniumのエンドポイントセキュリティ研究ディレクターであるメリッサ・ビショピング氏が登壇し、サイバーセキュリティの脆弱性が急増する中、企業がその管理において直面している課題や、その課題にどう対処すべきかについて講演します。
脆弱性が桁外れに増えています。 連邦政府の 国立脆弱性データベース（）によると、 2023年には世界中で約 29,000 件の一般的な脆弱性および露出（CVE）が記録されましたが、1991年にはわずか 15 件にとどまりました。 このため、企業の経営陣にとっては、複雑で――率直に言って、ただただ混乱を招く――サイバー環境に対処せざるを得ない状況となっています。
の脆弱性管理を効果的に行うための秘訣は、この状況がもたらす課題と予期せぬ機会の両方を捉えることにあると、ビショピング氏は述べています。 最新の技術革新と、大規模な自動化を実現する （ ）は、不要な情報を排除し、企業にとって最大の脅威となる脆弱性を優先的に特定するとともに、そのリスクを軽減するために直ちに実施できる戦略の策定を支援します。 （彼女の講演「Tanium Guardian を活用した脆弱性およびリスク管理のための実践的な知見」は、 5月6日 （12時 PT）および 5月8日 （16:15 PT）の「Stinson Room」にて開催されます。）
『Focal Point』の は、Bischoping氏にインタビューを行い、CVEの急増に関する彼女の見解、企業が犯しがちな間違い、そしてベストプラクティスのあり方について伺いました。
（以下のインタビューは、読みやすさと分量を考慮して編集されています。）
過去20年間で、脆弱性は急増しました。 なぜですか？
第一の要因は、技術の導入が進んだことです。 20年前は、誰もがポケットに携帯電話を入れ、カバンにノートパソコンを入れ、オフィスで接続できるサーバーを持っているわけではありませんでした。 今日、テクノロジーは至る所にあります。
「もはや、人々がコードの一行一行を理解し、それが安全かどうかを判断することはできなくなっています。」
2つ目の理由は、セキュリティ上の不具合を探している人が増えているからです。 バグ報奨金制度（ ）や報酬プログラムにより、善意の人々が、悪意のある人々に先んじてバグを発見するよう動機づけられています。
[関連記事：火には火で対抗――AIがサイバーセキュリティの戦力を強化する 3 の主要な方法]
最後に、ソフトウェアはますます複雑化しており、依存関係の層も増え続けています。 もはや、コードの一行一行をすべて理解し、それが安全かどうかを判断することは、誰にもできなくなってしまったのです。
これらすべてを追跡しなければならない企業にとって、どのような問題が生じているのでしょうか？
誰もが、少ないリソースでより多くの成果を上げようとしています。 人員を増やす余地がなく、予算を増やすこともできません。 一方、アラートツールや脅威インテリジェンスのフィードにより、サイバーセキュリティアナリストにはさらに多くの脆弱性データが殺到しています。 彼らは、自社の環境内に存在する数千件もの脆弱性を列挙したレポートを受け取ります。各脆弱性には、深刻度スコアが付けられています。
脆弱性が山積みになる中、小規模なチームはどのような対応を優先すべきでしょうか？ キャリアの初期の頃、私は最も深刻なバグを一つずつ順番に修正していけばいいのだと思っていました。 そういうことにはなりません。 脆弱性データが急増する状況に対応するために、人的リソースを拡大することはできません。
企業が一般的にどのような脆弱性対策を取っているとお考えですか。また、それらの対策にはどのような課題があるのでしょうか。
最もよくある間違いは、バグの深刻度を示す「共通脆弱性評価システム（CVSS）」の数値に盲目的に注目してしまうことです。 見出しでは、高いスコアが最も恐ろしいように思えるため、そうした数字に焦点が当てられています。 実際には、自宅のオフィスにあるユーザーのノートパソコンのCVSSスコアが 10 であっても、私の対外向けメールサーバーのスコアが7 である場合ほど心配にはなりません。しかし、スコアだけではその違いは明らかになりません。 CVSSスコアがこれより低いものでも、毎日セキュリティ侵害が発生しています。
「誰もが、少ないリソースでより多くの成果を上げようとしています……。」 一方、アラートツールや脅威インテリジェンスのフィードにより、サイバーセキュリティアナリストにはさらに多くの脆弱性データが殺到しています。”
もう一つの過ちは、ネットワークインフラにおける脆弱性へのパッチ適用を先延ばしにすることです。 従来、ルーターやファイアウォールにはエンドポイントエージェントを導入しないため、可視性が低くなります。 また、このネットワークは業務に不可欠なものであり、ダウンタイムに対する許容度が低いため、更新作業のリスクが高まります。 ネットワーク機器のソフトウェアは、しばしば数年も更新されていない状態であり、国家レベルの攻撃者やランサムウェアの運営者によって悪用される、極めて危険な脆弱性にさらされています。
[関連記事：パッチ適用を遅らせる際の必須ガイド――その理由、リスク、対策]
脆弱性管理におけるベストプラクティスとはどのようなものでしょうか？
まず、自社のインフラに関連する脆弱性がどれかを特定することから始めます。 つまり、包括的なハードウェアおよびソフトウェア資産のインベントリを活用し、質の高いテレメトリデータを収集することで、可視性を最優先にするということです。
「脆弱性を管理していないのであれば、そのリスクを受け入れなければなりません。」
どの資産が脆弱であるかが判明したら、単純な重要度スコアにとどまらず、悪用される可能性などの要因も考慮した脆弱性管理戦略を立てる必要があります。
この作業を支援するツールがあります。 私は、「 」のエクスプロイト予測スコアリングシステム（）の大ファンです。このシステムは、脆弱性が実環境で悪用される可能性を推定するものです。 CISAの「 （現在悪用されている脆弱性のカタログ）」は、現在実際に悪用されている脆弱性を一覧表示しており、これもまた有用なツールですが、最初の悪用からその脆弱性がリストに掲載されるまでに、しばしば時間差が生じることがあります。
また、脆弱性が実際にどのような影響を及ぼすかについても検討する必要があります。 攻撃者に の「至宝」へのアクセス権を与え、環境に最大の損害をもたらす可能性のある脆弱性を、的確にターゲットにしているかどうかをご確認ください。
[関連記事：RaaS編 ― ランサムウェア・アズ・ア・サービス（RaaS）攻撃に対する防御ガイド]
各事業部門の責任者と話し合い、特定のシステムが攻撃を受けた場合にどれほどのコストがかかるか、また業務が復旧するまでにどれくらいの時間がかかるかといった要因を特定してください。 このようにして、リスク管理プロセスを開始します。 その脆弱性を適切に管理していないのであれば、そのリスクを受け入れる必要があります。
テクノロジーはどのように役立つのでしょうか？
毎週発表される何千もの脆弱性を精査し、どこにリソースを割くべきかを把握するのに役立つツールが必要です。 お使いのツールは、脆弱性の範囲を事前に特定し、影響が及ぶ箇所を自動的に通知してくれるべきです。 つまり、エクスプロイトの予測、CVSSスコア、および深刻度を組み合わせてアルゴリズム的に重み付けを行い、お客様の環境に最も大きな影響を与える脆弱性を特定するということです。 お使いのツールセットは、それを脅威インテリジェンスと組み合わせ、それらのエクスプロイトについてより広範な文脈を提供できるものであるべきです。
[関連記事： 2023、 2024、 2025…向けのセキュリティ自動化ガイドはこちら]
また、テクノロジーは、変更をどのように展開すべきかについて提案し、手作業の工程を削減できるよう、あらかじめプレイブックを作成しておくべきです。 そうすることで、御社のチームは、これから何が起こるのかについて、事業主の方と話し合う時間を確保できます。
技術だけがすべてというわけではありません。 また、リスクや脆弱性管理に関する信頼できる人間の知見を得られるパートナーシップを通じて、ツールに人間の知恵を組み込むことも有効です。 それは、今後ますます増え続けるであろう、非常に複雑なデータや情報の波をうまく乗り切るのに役立つでしょう。
RSA Conference 2024の会場やその周辺で講演を行った参加者へのその他の独占インタビューもぜひご覧ください： 過去の教訓を活かしたインテリジェンス主導のID脅威検知
