Overview
脆弱性ライフサイクル（Vulnerability Lifecycle）とは、ソフトウェアやシステムの脆弱性が誕生してから最終的に解消されるまでの一連のプロセスを体系的に管理するフレームワークです。脆弱性の発見、評価、優先順位付け、修正、検証、そして継続的な監視までの各フェーズを定義し、組織が効率的かつ漏れなく脆弱性に対処するための指針を提供します。
現代のIT環境では、毎年数万件もの新しい脆弱性が報告されており、すべてを即座に修正することは現実的ではありません。脆弱性ライフサイクル管理では、CVSS（Common Vulnerability Scoring System）やビジネスへの影響度などの基準に基づいて優先順位を決定し、限られたリソースを最もリスクの高い脆弱性の修正に集中させます。
効果的な脆弱性ライフサイクル管理は、単なる技術的なパッチ適用にとどまらず、資産管理、リスク評価、変更管理、コンプライアンスなど、組織全体のセキュリティガバナンスと密接に連携します。脆弱性管理をプロアクティブに行うことで、攻撃者に悪用される前にリスクを低減し、組織のセキュリティ態勢を継続的に強化できます。
Details
フェーズ1：発見（Discovery）
脆弱性ライフサイクルの最初のフェーズは、脆弱性の発見と識別です。脆弱性スキャナー（Nessus、Qualys、OpenVASなど）による定期的なスキャン、ペネトレーションテスト、コードレビュー、外部からの脆弱性報告（責任ある開示）、脅威インテリジェンスフィードなど、複数のソースから脆弱性情報を収集します。
発見された脆弱性はCVE（Common Vulnerabilities and Exposures）識別子と紐づけて管理され、脆弱性管理データベースに登録されます。正確な資産インベントリがなければ、組織内のどのシステムが脆弱性の影響を受けるかを判断できないため、資産管理との連携が不可欠です。
フェーズ2：評価とトリアージ（Assessment & Triage）
発見された脆弱性は、重大性と影響度に基づいて評価されます。CVSS（Common Vulnerability Scoring System）は脆弱性の技術的な深刻度を0.0～10.0のスコアで表しますが、実際の対応優先度はビジネスコンテキストを考慮して決定します。
- 技術的評価：CVSSスコア、攻撃の容易性、リモート攻撃の可否、認証の要否
- 環境的評価：該当システムの重要度、インターネットへの露出度、機密データの有無
- 脅威的評価：実際に攻撃が観測されているか（Wild Exploitation）、エクスプロイトコードの公開状況
フェーズ3：修正（Remediation）
修正フェーズでは、脆弱性を解消するための具体的なアクションを実行します。主な修正手段として、パッチの適用（ベンダー提供の修正プログラム）、設定変更（セキュリティ設定の強化）、回避策（Workaround）の実施、仮想パッチ（WAFやIPSによる一時的な保護）があります。
修正にはSLA（Service Level Agreement）を設定し、重大性に応じた期限を定めます。一般的な基準として、Criticalは24～48時間以内、Highは7日以内、Mediumは30日以内、Lowは90日以内の対応が求められます。
フェーズ4：検証（Verification）
修正が完了した後、脆弱性が実際に解消されたことを検証します。再スキャンによる確認、手動テスト、ペネトレーションテストなどを実施し、パッチの適用漏れや修正の不完全性を検出します。検証は修正と同様に重要なフェーズであり、形式的な確認にとどめるべきではありません。
フェーズ5：継続的監視（Continuous Monitoring）
脆弱性管理は一度きりの活動ではなく、継続的なプロセスとして実施する必要があります。新しい脆弱性は毎日公開されるため、定期的なスキャン（少なくとも週次）、脅威インテリジェンスの監視、SBOMとの照合による新規脆弱性の影響分析を自動化し、発見から修正までのサイクルタイムを短縮し続けることが重要です。
Security Measures
- 01正確な資産インベントリの維持：脆弱性管理の基盤として、組織内のすべてのハードウェア、ソフトウェア、クラウドリソースを網羅した資産インベントリを維持してください。管理されていない資産（シャドーIT）は脆弱性スキャンの対象外となり、重大なリスクとなります。
- 02リスクベースの優先順位付け：CVSSスコアだけでなく、資産の重要度、インターネットへの露出度、脅威インテリジェンス（実際の攻撃活動の有無）、ビジネスへの影響を総合的に評価し、対応優先度を決定してください。SSVC（Stakeholder-Specific Vulnerability Categorization）の活用も検討しましょう。
- 03修正SLAの定義と遵守：脆弱性の重大性に応じた修正期限（Critical: 48時間、High: 7日、Medium: 30日、Low: 90日など）を組織として定義し、達成率をKPIとして定期的に測定・報告してください。
- 04自動化された脆弱性スキャンの実施：ネットワークスキャン、エージェントベーススキャン、コンテナスキャンを定期的（少なくとも週次）に自動実行し、新たな脆弱性の発見を迅速化してください。CI/CDパイプラインにもスキャンを組み込みましょう。
- 05パッチ管理プロセスとの連携：脆弱性管理とパッチ管理を統合し、脆弱性の検出からパッチのテスト・適用・検証までをシームレスに実行するワークフローを構築してください。緊急パッチの適用手順も事前に整備しましょう。
- 06メトリクスによる改善の可視化：MTTD（平均検出時間）、MTTR（平均修正時間）、残存脆弱性数、SLA達成率などの指標を定期的に測定し、脆弱性管理プロセスの成熟度を継続的に改善してください。経営層への報告にも活用しましょう。
Incidents
📋 Equifax 個人情報大規模漏洩事件（2017年）
2017年、米国の大手信用情報機関Equifaxで約1億4,700万人の個人情報が漏洩する大規模なセキュリティインシデントが発生しました。原因はApache Strutsの既知の脆弱性（CVE-2017-5638）で、パッチは2017年3月にリリースされていましたが、Equifaxは2か月以上適用を怠りました。
この事件は脆弱性ライフサイクル管理の失敗を象徴しています。脆弱性は検出されていたにもかかわらず、パッチ適用プロセスの不備、資産管理の不十分さ、責任の所在の不明確さにより、修正が遅延しました。Equifaxは最終的に7億ドル以上の和解金を支払うこととなりました。
📋 WannaCry ランサムウェアの世界的大流行（2017年）
2017年5月、WannaCryランサムウェアがWindows SMBの脆弱性（MS17-010 / EternalBlue）を悪用して世界中で急速に拡散し、150か国以上で20万台を超えるコンピュータが感染しました。Microsoftは2017年3月に修正パッチをリリースしていましたが、多くの組織がパッチを適用していませんでした。
英国のNHS（国民保健サービス）では、サポート終了済みのWindows XPを使い続けていたことも被害拡大の一因でした。この事件は、脆弱性の迅速な修正だけでなく、サポート終了製品の計画的な更新やネットワークセグメンテーションなど、多層的な防御の重要性を示しました。
📋 Citrix ADC/Gateway 脆弱性の悪用拡大（2019年）
2019年12月、Citrix ADC/Gatewayに重大な脆弱性（CVE-2019-19781）が公開されました。修正パッチのリリースまでに約1か月を要し、その間に攻撃コードが公開されたことで、世界中のCitrixサーバーが攻撃対象となりました。パッチが利用可能になった後も、適用が遅れた組織で侵害が続きました。
この事件は、脆弱性ライフサイクルにおける「パッチが存在しない期間」のリスク管理の重要性を示しています。仮想パッチやネットワークレベルの回避策を迅速に適用し、公式パッチがリリースされるまでの間もリスクを低減する体制が求められます。