リスクに基づいて脆弱性に優先順位を付ける方法

脆弱性管理において、多くのセキュリティチームは、脆弱性の件数を追跡するというシンプルな戦略を採用しています。脆弱性を数えると、監視や報告が容易なわかりやすい指標が得られ、組織のセキュリティ態勢を同業他社や業界のベンチマークと簡単に比較できます。また、発見された脆弱性の数を報告するよう求める基準もあるため、コンプライアンスの面でも有用です。

しかし、そのメリットはそこまでです。脆弱性の件数を数えるだけでは、サイバーセキュリティリスクを評価するには不十分です。たとえば、誤った安心感（または危機感）を招くおそれがあります。脆弱性の数が多くても、悪用が難しい、あるいは深刻度が低ければ、リスクが高いとは限りません。反対に、数が少なくても、容易に悪用できる、または深刻度が高い場合、リスクは低いとは言えません。

重複する脆弱性など、脆弱性を数える方法にはほかにも懸念があります。総数を正確に把握するのが難しくなるためです。また、まだ発見・報告されていない脆弱性が存在する可能性もあり、組織が直面するセキュリティリスクを正しく理解できないことがあります。

アプリケーションセキュリティ（AppSec）チームは、ビジネスを守るために脆弱性の件数だけに頼るべきではありません。代わりに、各脆弱性が実際にもたらすリスクを評価する「リスクベースの優先順位付け」を学ぶ必要があります。このガイドでは、そのメリットと、組織内で導入する方法を解説します。

効果的な脆弱性管理にリスクベースの優先順位付けが必要な理由

リスクベースの優先順位付けは、潜在的な脅威をすべて合算するのではなく、脆弱性がもたらすリスクに基づいて評価、ランク付け、対処するため、従来の脆弱性の件数管理では対応できない課題を解決します。脆弱性の悪用可能性、ビジネスへの影響、データの機密性などの要素を考慮することで、AppSecチームは限られたリソースを、最も大きな被害をもたらす脅威への対処に集中できます。

さらに、リスクベースの優先順位付けはアラート疲れを軽減します。すべての脆弱性を監視すると、セキュリティチームに大量のアラートが届き、重要な警告が無視されたり見落とされたりすることがあります。この方法なら、最もリスクの高い脅威に注意を集中できます。

リスクベースの優先順位付けには、リスクに対する共通認識を生み出し、チーム間の連携を促進するメリットもあります。AppSecチームや開発チームを含むすべての関係者が、脆弱性によって生じる可能性のある影響を明確に理解すれば、最も重大な問題に効果的に対処する方法について認識を合わせられます。

リスクベースの優先順位付けを導入するための主なステップ

次の7つの簡単なステップで、リスクベースの優先順位付けを導入し、組織のサイバーセキュリティ態勢を強化できます。

1. 全体をくまなく可視化する

2. ビジネスの背景情報を取り入れる

3. セキュリティテストの結果を分析する

4. 実行時のリスクシグナルを評価する

5. リスクスコアリングモデルを作成する

6. 優先順位付けの基準を定める

7. アプローチを継続的に改善する

1. 全体をくまなく可視化する

脆弱性を見つけるには、どこに存在する可能性があるかを把握する必要があります。まず、アプリケーション環境の全体像を明確にしましょう。組織で使用しているすべてのアプリケーションを一覧化し、オープンソースライブラリ、サードパーティ製ツール、APIなど、各アプリケーションのソフトウェアコンポーネントを詳しく調べます。こうすることで、脆弱性がどこで発生したり潜んだりする可能性があるかを、より正確に把握できます。最後に、潜在的なリスクの範囲を適切に評価できるよう、システムの各コンポーネントがどのように連携しているかを確認します。

2. ビジネスの背景情報を取り入れる

すべての脆弱性は望ましくありませんが、リスクの大きさはそれぞれ異なります。リスクに基づいて優先順位を付けるには、ビジネス運営にとって最も重要なアプリケーションを特定します。中核的な業務や収益創出に不可欠なアプリケーションほど、より注意を払う必要があります。最悪のシナリオを想定し、サービス停止、金銭的損失、評判の毀損がどの程度生じるかを評価しましょう。顧客の財務記録や個人を特定できる情報（PII）などの機密データを扱うアプリケーションや、システムへの広範なアクセス権を持つアプリケーションに影響する脆弱性を優先します。

3. セキュリティテストの結果を分析する

次に、アプリケーションセキュリティテスト（AST）を実施します。静的アプリケーションセキュリティテスト（SAST）や動的アプリケーションセキュリティテスト（DAST）などのASTツールを活用して潜在的な脆弱性に関する知見を得て、結果を組み合わせてセキュリティ態勢を包括的に把握します。目的は脆弱性を数えることではなく、悪用される可能性が最も高い、またはビジネスに重大な損害をもたらす脆弱性を特定することです。

4. 実行時のリスクシグナルを評価する

リスクを判断するために、スプレッドシート上のアプリケーション一覧を見るだけでは不十分です。実際の環境でアプリケーションを稼働させ、異常や予期しない挙動がないか確認する必要があります。システムの各部分がどのくらいの頻度で使われているか、どのコンポーネントが外部の脅威にさらされているかを分析し、攻撃対象領域が最も広い脆弱性に注力しましょう。攻撃者が実際に悪用している脆弱性に関する最新の脅威インテリジェンスデータを定期的に収集し、評価に取り入れることも習慣にしてください。

5. リスクスコアリングモデルを作成する

脆弱性の評価を標準化するため、スコアリングモデルを作成しましょう。アプリケーションの可視性、ビジネスの背景情報、セキュリティテストの結果、実行時のシグナルに関して収集したデータをまとめ、それぞれの重要度に応じて重み付けします。次に、各脆弱性のリスクを数値で表すスコアリングシステムを構築します。これにより、一貫した方法で比較し、優先順位を付けられます。

6. 優先順位付けの基準を定める

脆弱性をスコア化したら、どれに直ちに対処すべきかを判断するルールを定めます。高・中・低リスクの基準となるしきい値や境界を設定しましょう。脆弱性の修正に使える時間やリソースも考慮してください。修正を担当する開発チームが優先順位を付けて対応できるよう、リスク情報や背景を含め、明確な指針を提供します。そうすることで、最も重大な問題から対処できるようになります。

7. アプローチを継続的に改善する

脅威の変化や組織の優先事項の移り変わりに対応するには、リスクベースの優先順位付けにも機敏さと柔軟性が求められます。リスクモデルを四半期ごとに見直し、期待するリスク管理の成果が得られているかを確認しましょう。各部門のメンバーから、うまくいっている点や改善が必要な点について意見を集め、必要に応じて調整します。

SnykとAccentureでASPMを極める

リスクベースの優先順位付けを活用した脆弱性管理について理解を深めたら、次はSnykとAccentureとともに、このテーマをさらに掘り下げましょう。ホワイトペーパー開発者の力を引き出し、リスクを軽減する：ASPMがDevSecOpsを強化する方法をダウンロードして、アプリケーションセキュリティ態勢の改善に役立つ詳しいガイダンスをご覧ください。

Snykでアプリケーションセキュリティを強化

AppSecチームが最新の高パフォーマンスな開発者向けセキュリティプログラムを導入、管理、拡大できるSnykで、リスクベースの優先順位付けを簡素化しましょう。今すぐデモを予約して、Snykのリスクベースの優先順位付けツールが、開発プログラムをサイバー脅威から守る方法をご確認ください。