脆弱性の
スコア依存を考える

　ここで重要なのは、この脆弱性の悪用を「公開された時点」で予見し、早期対処できたかという点です。結論から言えば、一般的な脆弱性管理の指標を見ているだけでは極めて困難であったと考えています。

　脆弱性が公開された当時、CVSSスコアはもちろん、CISA KEV、KEV以外の脅威インテリジェンスソース、EPSS（Exploit Prediction Scoring System：脆弱性の悪用予測スコア）、あるいはBOD-26-04（Binding Operational Directive：米政府の拘束力ある運用指令）といった、あらゆる指標やステータスのいずれを参照しても、即座に「緊急対応が必要」と判断できる強いアラートは出ていなかったと認識しています。

　では、このような指標の網の目をすり抜ける脅威から組織を守り、事案を回避するにはどうすればよかったのでしょうか。事実上、選択肢は2つしかなかったと考えられます。

　1つは、スコアや指標に関わらず「公開されるセキュリティパッチをすべて即座に適用する」という運用を実行すること。もう1つは、自組織の環境と照らし合わせながら「脆弱性の性質（境界機器か、認証不要か等）を都度独自に判定する」という、極めて難度の高い運用を実現することです。

　CVSSの数値的な深刻度や各種カタログのステータスだけを絶対的な基準とし、パッチ適用の有無や対策の優先度を機械的に決定してしまう運用は、組織の防御に致命的な死角を生みます。スコアの低さに慢心すれば、思わぬ形で足元を掬われることになるのです。

4. パッチ全適用の理想と、稼働を止められない現実

　前述した回避策のうち、1つ目の「公開されるセキュリティパッチをすべて即座に適用する」というアプローチについて考えてみます。確かに理屈の上では、それが悪用リスクを完全に絶つ最も安全な選択肢に思えます。

　しかし、実態としてそのような運用をしている組織は皆無に等しいのが現実です。パッチ適用には、業務システムの稼働停止調整、適用後の不具合を防ぐための綿密な事前検証、そして対応する人員の確保が不可欠です。「ビジネスを止めないこと」と「セキュリティ確保」の板挟みの中、日々膨大に発見され続ける脆弱性のすべてに機械的に対応することは、現場のリソース制約において事実上不可能です。

　現場が「とりあえず全て適用する」ことを躊躇する最大の理由は、パッチ適用自体が引き起こすシステム障害のリスクにあります。これまでにもセキュリティパッチを適用したことでシステム障害などにつながった事例は数多く存在しています。

　セキュリティパッチは脆弱性を塞ぐための特効薬である一方、既存のOSやミドルウェア、独自アプリケーションとの間で予期せぬ競合を引き起こす副作用も持ち合わせています。適用直後に端末が起動しなくなったり、重要な業務サービスが停止してしまったりする事態は、ITの現場において決して珍しいことではありません。

　システム担当者にとって、いつ来るか分からないサイバー攻撃と同等かそれ以上に恐ろしいのが、自らのパッチ適用作業が引き金となって発生する「事業停止」という確実な損害です。「ビジネスを止めない」という至上命題がある以上、十分な稼働検証を行わずに全パッチを盲目的に適用するという選択肢は、現場にとって到底実行できるものではないと言えます。

　そうなると、現実的な防御策として残された道は、もう1つの選択肢である「脆弱性の性質を都度独自に判定し、真に危険なものを見極める」という運用へ必然的に絞られていきます。しかし、ここで私たちは新たな、そして最大のジレンマに直面します。

5. まとめ

　フロンティアAIの台頭により、これからは過去とは比較にならないスピードと規模で、新たな脆弱性が次々と暴かれ続ける時代に突入します。そのような激動の環境下において、高度な専門知識と労力を要する「独自の性質判定」を組織が人の手で都度行い続けるという運用が果たしてどこまで現実的であり、持続可能なのか。正直なところ、筆者自身もまだこの問いに対する明確な答えは出せていません。

　CVSSのスコアに依存するだけでは守りきれない。かといって、盲目的に全てのパッチを当てることも、人間の力だけで全てを見極め続けることも限界を迎えつつある――。

　今回起きたデジタル庁の事案は、単なる一過性のインシデントではなく、AI全盛時代を迎えるこれからの脆弱性管理において、私たちが真正面から向き合い、解くべき「次なる難題」を極めてリアルな形で突きつけているのではないでしょうか。