Root Evidenceは、深刻度スコアのみに頼るのではなく、実世界での悪用や財務的影響の証拠に基づいて脆弱性の優先順位を付ける脆弱性管理プラットフォーム「Evidence Platform」を発表しました。
このプラットフォームは、ランサムウェアや事業中断、財務的損失につながる可能性が最も高い脆弱性にセキュリティチームが集中できるよう設計されています。
「サイバーセキュリティ業界は脆弱性を見つけることには非常に長けていますが、財務的損失の防止という点では大きく前進していません」と、Root EvidenceのCEOであるJeremiah Grossman氏は述べています。「業界全体として、私たちは問題を見つけることには最適化してきましたが、実際にどの問題が重要なのかを証明することには最適化してきませんでした。セキュリティリーダーが必要としているのは、作業負荷を増やすだけの新たなツールではなく、より優れたエビデンスです」
Omdiaの最近の調査によると、脅威とエクスポージャーの増加によって、すべてに対処しきれない組織が増えており、セキュリティ上の意思決定やリスク低減のためにより多くのコンテキストを提供する技術への需要が高まっています。
「セキュリティチームは脆弱性データに事欠くことはありません。課題は、どのエクスポージャーが事業成果に影響を及ぼす可能性が最も高いかを見極めることです」と、Omdiaの脆弱性・リスク管理担当プリンシパルアナリストであるTheresa Lanowitz氏は述べています。「組織は、技術的なエビデンス、運用上のコンテキスト、財務的影響を組み合わせ、より的確なリスク判断を下せるアプローチを求めるようになっています」
推測ではなくエビデンスを
サイバー保険の請求データ、保険数理分析、デジタルフォレンジックインテリジェンス、攻撃対象領域インテリジェンス、実際の侵害データを基盤とするRoot Evidenceは、ノイズの低減、修復作業の優先順位付け、そして事業への影響が最も大きい部分へのリソース集中を組織が実現できるよう、サイバーセキュリティにおけるエビデンスベースの運用モデルを導入します。
「これまで長年にわたり、業界はセキュリティチームに対して、理論上の深刻度スコアと推測に基づいて重要な修復判断を下すことを強いてきました」と、Root EvidenceのCTOであるRobert Hansen氏は述べています。「私たちは、組織が実際の財務的損失、サイバー保険の請求、デジタルフォレンジック、観測された攻撃者の挙動といったエビデンスを用いて脆弱性の優先順位を付けるべきだと考えています。これは、サイバーリスクに対する考え方を根本的に変えるものです」
その結果生まれたのが、シンプルな新しい意思決定の枠組みです。深刻度による脆弱性の優先順位付けをやめ、財務的損失のエビデンスに基づく優先順位付けへと移行するのです。
エビデンスに裏打ちされた信頼
この手法への信頼を強化するため、Root Evidenceは「Mythos Warranty」も導入します。この保証制度のもとでは、Root Evidenceが特定・報告しなかったCVEに起因する補償対象イベントについて、顧客は最大500万ドルの財務的損失補償を受けられます。この保証は、Root Evidenceの手法を独自に評価し、リスクの引き受けに同意したサイバー保険引受パートナーによって支えられています。
「Mythos Warrantyは、Root Evidenceが単に約束をしているだけのものではありません」とGrossman氏は述べています。「独立系のサイバー保険引受業者が私たちの手法を評価し、それを財務的に裏付けることに同意したのです。これは私たち自身がエビデンスに自信を持っているという話ではなく、日々サイバー損失に対する保険金を支払っている当の業界による裏付けなのです」
- Evidence Surface: 組織の環境全体にわたるインターネット接続資産の発見・監視
- Evidence Scan: 検証済みの財務的損失に関連する脆弱性である財務リスクエクスポージャー（FIRE: Financial Risk Exposures）の特定
- Evidence Reporting: 技術的な調査結果を財務リスク指標や取締役会向けレポートへと変換
- Mythos Warranty: 最大500万ドルの財務的損失補償を提供し、Root Evidenceの成功を顧客の成果に連動させる
今回の発表は、脆弱性管理をめぐる長年の思い込みに一石を投じることを目的とした、より広範な業界啓発活動の始まりでもあります。Root Evidenceは、独自調査や啓発コンテンツ、そして最初のレポートとなる「Stop Counting CVEs: What Actually Mattered」を通じて、脆弱性の発見件数が増えても侵害が減らなかった理由、実際に財務的損失を引き起こしている要因、そして推測ではなくエビデンスを用いて組織がより効果的な修復判断を下す方法について検証していきます。
「私たちは、サイバーセキュリティの意思決定をより良く行うための新しい方法を提示しています」とGrossman氏は述べています。「サイバーセキュリティの未来は、何を最初に修正すべきかについて最良のエビデンスを提供できる者によって定義されると私たちは考えています。次世代のサイバーセキュリティ製品は、保険数理的なエビデンス、財務的な成果、そして実世界における損失データを用いてリスクを測定するようになるでしょう。それが業界の向かう方向だと私たちは考えており、その未来に向けて構築を進めています」
