社内IT資産に潜む脆弱性から組織を守る秘訣とは？

　ソフトウェアの脆弱性は、修正パッチを適用することで脅威にさらされる時間を短縮できる。しかし、パッチが公開されても脆弱性を放置してしまっている企業は多い。その原因の1つが、セキュリティ人材の不足だ。2019年時点で約10万8千件もの脆弱性が発見されている中、リスクや影響の調査などを自社リソースだけで行うのは現実的でない。

　こうした課題に有効なのが、情報を自動的に収集し、対処が必要な脆弱性を提示するクラウドサービスだ。自社に導入しているプロダクトやベンダーの情報を登録しておけば、対処すべき脆弱性の情報をWebサイト上で確認できる。データベースからはCVE（共通脆弱性識別子）の詳細を検索することも可能だ。

　将来的にはJPCERT/CCと情報処理推進機構（IPA）が共同で管理している脆弱性情報データベース「JVN」との連携による日本語情報の提供などの機能拡張も計画。今後リリース予定の正式版では、脆弱性情報のメール通知やCSV形式の資産台帳から脆弱性対策状況のレポーティングも可能になるという。本資料では同サービスの詳細を紹介する。