システムやサービスが多種多様となる中、企業にとって適切な対策を見定めるのは困難です。しかしながら脆弱性は放置できる課題ではありません。では、どのように判断し対応すべきでしょうか。本コラムでは、その疑問に対する考え方を示したいと思います。

セキュリティ対策として脆弱性診断を取り入れる企業が増える一方で、多くの企業が「どのシステムや領域を対象とし、どれくらいの頻度で診断すべきか」といった課題に直面しています。システムの規模が大きいほど全ての領域を網羅的に診断するのは非現実的ですし、中小企業では予算や人員も限られてきます。加えて、攻撃者が絶えず新しい攻撃を試みる中で、自システム内に該当する最新の脆弱性情報を見逃すことなく、かつ効率的に対応するためには、診断対象と実施頻度の適切な選定が重要です。しかし、具体的な基準がないため、多くの企業は効果的な診断の実施に頭を悩ませています。

a.リスクベースドアプローチ（RBA）の導入

リスクベースドアプローチ（RBA）は、システムや資産のリスクに応じて優先順位をつける方法です。このアプローチでは、以下のような基準をもとに診断対象を選定します。

• システムの重要性:企業の運営に直接関わる基幹システムや、顧客情報を管理するシステム
• インターネット接続の有無:外部と直接接続されているシステムやサービス
• 過去の脆弱性や攻撃の履歴:以前に脆弱性が発見されたシステムや、攻撃を受けた履歴のあるシステム

b.法規制や業界ガイドラインに基づく選定と頻度

金融業界や医療業界など、特に規制が厳しい分野では、年に1回以上の診断を求めるものもあります。例えば、PCI DSS（クレジットカード情報を扱う際のセキュリティ基準）では、四半期に1回の診断が求められています。また、金融庁による『金融分野におけるサイバーセキュリティに関するガイドライン』では、サイバーセキュリティに関するリスク評価のプロセスを少なくとも１年に１回は評価するとされています。
IPAが公開している『ECサイト構築・運用セキュリティガイドライン』では4半期に1回の頻度でのプラットフォーム診断が推奨されています。

c.システムの更新頻度と診断頻度の関係

システムやアプリケーションの更新頻度も診断頻度の決定に大きく影響します。新しい機能や修正が頻繁に導入されるシステムでは、更新ごとに新たな脆弱性が発生する可能性が高いため、更新サイクルに合わせて診断を実施することが推奨されます。逆に、更新頻度が少なく安定しているシステムについては、診断頻度を低く設定し、重要度に応じての対応とします。

d.定期的な診断とスポット診断の組み合わせ

企業のセキュリティ態勢を強化するためには、定期的な診断と必要に応じたスポット診断の組み合わせが効果的です。例えば年に1回全体の定期診断を行いつつ、システムの規模な更新や重大な脆弱性情報が発表された際には該当部分をスポット診断することで、新たな脆弱性を早期に発見し、迅速に対応する体制を整えられます。

ITMではシステムインベントリを管理し、対応の優先度付けが可能な脆弱性管理サービス、低コストで定期的な診断が可能なSaaS型脆弱性ツール診断、より多項目を診断できる脆弱性手動診断をご提供しております。
脆弱性診断の対象選定と頻度の適切な決定は、企業のセキュリティ態勢を確立するうえで欠かせない要素となります。脆弱性診断は単に義務的に行う作業ではなく、企業の信頼性と業績の安定を支える基盤です。リスクに基づく診断体制を構築し、定期的な診断を通じて脆弱性の早期発見と迅速な対応を図りましょう。