リスクベースの脆弱性管理が現代の IT 環境のセキュリティ態勢を効果的に強化

脆弱性評価と脆弱性管理は似たように聞こえますが同じではありません。最近発表された企業戦略グループ (ESG) によるホワイトペーパーは、その違いを理解して随時実行型の脆弱性評価から継続的なリスクベースの脆弱性管理 (RBVM) に移行することが重要であることを説明しています。本ブログでは、Tenable が委託したこの調査の結果、ハイブリッドで複雑なマルチクラウド環境においてRBVMがどのように強力なセキュリティとリスク態勢の確保に役立つかを解説します。

脆弱性診断あるいは脆弱性評価と脆弱性管理を同じものと解釈しないでください。

セキュリティにかかわるリスクを効果的に管理するには、継続的かつ包括的な脆弱性管理が必要です。その時々の状況を把握するために行う定期的な診断や、状況に応じて行う不定期な評価では不十分です。脆弱性を評価することは重要ですが、それは、リスクを削減して現代の IT 環境におけるセキュリティ態勢を強化する脆弱性管理プログラムの一部分でしかありません。 

Tenable が委託した最新の ESG ホワイトペーペー、「 リスクベースの脆弱性管理でセキュリティをレベルアップ」が焦点をあてているのはそのポイントです。 このレポートでは、脆弱性を評価するだけでなく、優先順位を付け、行動に移し、対応状況を再評価して改善を吸収していくという一連のプロセスを可能にするリスクベースの脆弱性管理対策が必要な理由を詳しく説明しています。 本ブログでは、レポートの重要な部分に光を当てます。

脆弱性評価とは何？その弱点は？ 

ESG の定義によれば脆弱性評価は「ネットワークの状態を診断してその時に存在する IT 資産やアプリケーション、それらに関連した脆弱性を検出すること」とあります。 定期的な評価に依存しているだけでは、脆弱性対策が十分に機能しているかどうかを追跡したり測定したりすることは困難です。それは、以下のような重要な質問に回答できないからです。 

• 環境をくまなくスキャンして 100% の資産を評価しただろうか? 
• すべての深刻な脆弱性にタイムリーに対応しただろうか? 
• 全体的なリスクが削減されているだろうか? 

このような質問に回答できなければ、脆弱性対策の長期的な効果を図るすべもありません。 

クラウドサービス、IoT デバイスや OT システム、モバイルエンドポイントその他が導入され、高度に複雑になったハイブリッド、マルチクラウド環境の管理と安全保障が必須となっています。 脆弱性評価ツールはそもそも IT 環境を 1 つずつ順番にスキャンしてくように作られているので、そのような旧式のツールに依存している場合、何回もスキャンを繰り返してやっと環境全体を評価することができます。そのように実行しても、旧式のツールで資産をすべて可視化することが難しいのは、仮想マシン、コンテナ、クラウドインフラ、一過性のワークロードなど現代の資産を検出して安全を確保するようにできていないからです。. 

スキャンの結果は、1 か所に集めて優先順位の決定や修正作業の計画に役立たせる必要がありますが、従来の脆弱性評価ツールでは、ワークフローの自動化をうまくこなすことができず、結果的に費用がかさむ可能性があります。ESG のホワイトペーパーは「旧式のツールそのもは廉価かもしれない。しかし、その評価結果を生産性の高い行動に移そうととすると、実際にはソフトウェアの価格を超える出費が強いられる可能性がある」と注意しています。起しています。 

脆弱性管理プログラムの最大の課題s

383 人の IT およびサイバーセキュリティ専門家が参加した ESG の調査によると、組織が現在直面している脆弱性管理プロセスとツールに関する最大の課題は、次のとおりです。

• 脆弱性の検出、優先順位、軽減などを実行するプロセスの自動化
• パッチのない、あるいはパッチできない脆弱性の追跡
• 脆弱性管理にさまざまなツールが必要なため調整が難しい 

上のデータは、従来の脆弱性評価の機能を超えたソリューションが必要なことを明確に表しています。新型の脆弱性管理ソリューションは、ワークフローの自動化に優れ、効果的で効率よくリスクベースの優先順位付けができ、セキュリティ部門と修正担当者の橋渡しをして両者間の狭間をなくすことができます。

継続的でリスクに基づいた脆弱性管理のメリット 

継続的なリスクベースの脆弱性管理プログラムは、より効果的なリスク削減とセキュリティ態勢の強化に欠かせません。 

脆弱性管理にリスクベースのアプローチを導入するには脆弱性の文脈を理解してリスクを効果的かつ効率よく優先順位づけすることが必要で、次の 3 つの重要な要素を把握しておかなければならない、と ESG は強調しています。 

1. 影響: 脆弱性が悪用された場合を想定して、影響を受けた資産と組織全体への影響を理解することが必要
2. 悪用される可能性: どの脆弱性が現在悪用されているのか、どの脆弱性が簡単に悪用されやすいのか、その事実を理解することは優先順位の決定に重要 
3. 資産価値: 最近さらに複雑性を増している要素。価値のある資産とは最重要ソフトウェアを実行しているシステムとは限らなくなり、アイデンティティデータ、ロール、システムユーザーの権限などを格納した資産の場合もある 

脆弱性管理対策の成熟度を上げて、効果的なリスク削減のできる先行的で包括的なプログラムを実装すると、現代の作業負荷のニーズに適切に対応することができます。ESG の調査結果の詳細は こちらからホワイトペーパーをダウンロードして内容をご覧ください。

Tenable Vulnerability Management がお手伝い 

Tenable Vulnerability Management はリスクベースの脆弱性管理プラットフォームです。現代の最もしぶとい脆弱性管理の課題を効果的でモダンなアプローチで解決します。 

クラウドから管理できる Tenable Nessus を搭載した Tenable Vulnerability Management は、業界で最も包括的な脆弱性のカバレッジを基にリアルタイムで継続的に評価を行い、組織のエコシステム全体を網羅する可視性を提供してサイバー攻撃を予測し、深刻な脆弱性を素早く検出します。

Tenable Vulnerability Managementについて詳しくは 評価バージョンを今すぐお使いいただき、ホワイトペーパー「リスクベースの脆弱性管理をレベルアップ」をダウンロードしてご一読ください。