複雑で動的な組織のシステムに、脆弱性管理を最適化するための検討事項

　セキュリティ侵害の多くは、ブラウザやオペレーティングシステム、その他のサードパーティー製アプリケーションなどの脆弱性を突く形で実行されている。このため、脆弱性管理（VM）の継続的な実行が欠かせないが、現代の複雑で動的なコンピューティング環境に、どう対応するかが課題となる。

　VMの中核となるのは、ローカルや仮想化、クラウドの各環境に接続されたエンドポイントやコンテナを検出し、スキャンする脆弱性評価（VA）ツールだ。その効果的な概念実証には、VAの取り組み範囲などを定義する「準備」、ネットワークを通じて脆弱性や不適切な構成を探す「評価」、脅威状況とアセットの重要性に基づき脆弱性対応の優先順位を決める「修正」、さらにVAツールによる目標の達成度を測る「効果の追跡」という手順を踏む。

　さらに、VMプログラムには、組織の具体的なニーズに対応できる多様なコンポーネントが求められる。本資料では、これらVMの選定に当たって検討すべき要件を詳しく解説している。クラウドや仮想化環境、リモートなどから成る複雑なエコシステムを可視化し、SecOpsを実現する道筋を明らかにする。