脆弱性対応を効率化するには　 ～「脆弱性の数」ではなく「守るべき資産」から考える～ 

株式会社ラック
岡本 勝仁

　「脆弱性が見つかった場合には、速やかに修正する」。これは、サイバーセキュリティ対策における基本的な考え方です。脆弱性を放置することで、攻撃者にシステムへ侵入されるきっかけを与える可能性があるため、修正プログラムの適用などによって脆弱性を解消することは重要です。

　一方で、企業が管理するIT環境が複雑化し、日々多くの脆弱性情報が公開される現在、すべての脆弱性を同じ優先度で、速やかに修正することは容易ではありません。
　IPAが公開する「JVN iPedia」の登録状況によると、2026年第2四半期だけで13,131件の脆弱性対策情報が登録され、2026年6月末時点の累計登録件数は290,167件に達しています[1]。企業においても、オンプレミスのサーバや端末に加え、クラウド、SaaS、ネットワーク機器、業務アプリケーションなど、多様なIT資産を利用する中で、全てのIT資産に対して脆弱性対応を実施することは困難だと考えます。

　このような状況では、脆弱性対応は「何件対応したか」という数ではなく、「より重要なIT資産への対策ができているか」という質が重要となってきます。
　では、限られた人員や時間の中で、どのように脆弱性への対応を進めればよいのでしょうか。

　具体的には、次の2点を重視することが重要です。
　　① 守るべき資産の可視化
　　② 対応優先度の策定

　まず重要なのが、自社のIT資産を把握することです。脆弱性情報を入手しても、その影響を受ける製品が自社のどこで利用されているのか分からなければ、対応の必要性や緊急性を判断することができません。
　例えば、同じ脆弱性が存在していたとしても、インターネットからアクセス可能なシステムと、外部から隔離された環境では、攻撃につながる可能性が異なります。また、認証基盤や基幹業務システムなど、停止した場合に事業へ大きな影響を与えるシステムであれば、より慎重に対応を検討する必要があります。
　そのため、資産管理においては、単に「どの製品を利用しているか」を記録するだけでなく、どのシステムが重要なのか、どのネットワークに接続されているのか、インターネットからアクセス可能なのかといった情報まで把握することが重要です。

　次に必要となるのが、把握した資産を踏まえた対応優先度の策定です。
　脆弱性の深刻度を示すCVSSなどの情報は、対応順位を決める上で重要な判断材料です。しかし、それだけで優先順位を決めるのではなく、実際の攻撃状況や自社の利用環境も合わせて判断する必要があります。CISA（米国サイバーセキュリティ・社会基盤安全保障庁）も、既知の悪用脆弱性に関する情報を脆弱性管理の優先順位付けに活用する考え方を示しています[2]。
　国内でも、こうした「実際の攻撃状況を踏まえて優先順位を考える」という考え方を確認することができます。2026年7月にはMicrosoft製品の脆弱性について、IPAとJPCERT/CCが注意喚起を行いました。IPAは、Microsoftが悪用を確認した脆弱性について、早急なセキュリティ更新プログラムの適用を呼び掛けています[3]。また、JPCERT/CCも、Microsoft SharePoint ServerやActive Directory Federation Servicesの脆弱性について、悪用が確認されていることを踏まえて注意を促しています[4]。
　このように、実際に悪用されている脆弱性については、単に「重大な脆弱性である」という情報だけでなく、「すでに攻撃に利用されている」という情報も対応の緊急性を判断する材料になります。

　ここで重要なのは、優先順位を付けることが、優先度の低い脆弱性を放置するという意味ではないということです。緊急性や事業への影響が大きいものから先に対応し、その後、残りの脆弱性についても計画的に対応することで、限られたリソースを有効に活用することができます。

　脆弱性情報が増え続ける中、脆弱性管理を「見つかった脆弱性を修正する作業」として捉えるだけでは、十分な対応が難しくなっています。「何件の脆弱性を修正したか」ではなく、「重要なIT資産に存在するリスクをどれだけ低減できたか」。この視点を持つことが、これからの脆弱性管理に求められます。

【参考文献】
 [1] 情報処理推進機構（IPA）「脆弱性対策情報データベースJVN iPediaの登録状況［2026年第2四半期］」
　https://www.ipa.go.jp/security/reports/vuln/jvn/ipedia2026q2.html
 [2] CISA CRR Supplemental Resource Guide: Vulnerability Management
　https://www.cisa.gov/sites/default/files/c3vp/crr_resources_guides/CRR_Resource_Guide-VM.pdf
 [3] 情報処理推進機構（IPA）「Microsoft 製品の脆弱性対策について（2026年7月）」
　https://www.ipa.go.jp/security/security-alert/2026/0715-ms.html
 [4] JPCERT/CC「2026年7月マイクロソフトセキュリティ更新プログラムに関する注意喚起」
　https://www.jpcert.or.jp/at/2026/at260020.html