問題は可視性ではありません。
脆弱性管理がうまくいかなくなっているのは、セキュリティチームの可視性が不足しているからではありません。ほとんどの組織では、すでに現実的に対処しきれないほど大量の検出結果を抱えています。しかし、これだけ多くの検出結果があるにもかかわらず、多くのCISOは「自分たちは実際に攻撃されにくくなっているのか」という一見単純な問いに答えられずにいます。
この問いこそが、拡大しつつある問題の核心です。セキュリティプログラムは問題を見つけることには非常に長けてきましたが、問題を見つけることとリスクを減らすことは同じではありません。多くの組織では、この二つの概念が同一視されるようになっており、それこそが従来型の脆弱性管理が破綻し始めている理由なのです。
脆弱性管理の背後にある前提は単純です。脆弱性を特定し、優先順位を付け、パッチを当てられれば、リスクは減るはずだという考え方です。この論理は、環境の規模が小さく、インフラの変化がゆるやかで、脆弱性がリスクを示す主要な指標として扱われていた時代には、それなりに機能していました。
しかし、今日の環境はそのようには動いていません。脆弱性が単独で存在することはまれで、より広範なセキュリティ問題の一要素に過ぎないことがほとんどです。今や課題は脆弱性を見つけることではなく、エクスポージャー(攻撃者に露出しているリスク)を理解することにあります。
この変化こそ、Gartner®の継続的脅威エクスポージャー管理(CTEM)フレームワークが注目を集めている理由の一つです。このフレームワークの核心は、リスクを理解するには個々の脆弱性を超えて、攻撃者が実際に悪用できるより広範なエクスポージャーを評価する必要があるという認識にあります。
優先順位付けがうまくいかない理由
この課題は、組織がリスクの優先順位付けを試みる際に顕在化します。従来の脆弱性管理は、深刻度スコアをリスクの代替指標として用いながら、検出結果を個別に評価します。一方、攻撃者のアプローチは異なります。攻撃者は、弱点同士がどうつながっているか、それによってどのようなアクセス権が得られるか、そしてそれらを組み合わせて意味のある目的にどう到達できるかを評価します。
この違いが重要なのは、深刻度とリスクが同じものではないからです。到達不可能あるいは悪用不可能な重大脆弱性は、実質的にはほとんどリスクにならないこともあります。一方で、深刻度の低い問題であっても、脆弱な認証情報や過剰な権限、誤設定されたID関連の信頼関係と組み合わさることで、機密性の高いシステムやデータへの直接的な侵入経路が生まれる可能性があります。
攻撃者はこのことを直感的に理解しています。彼らは脆弱性を一つずつ攻撃するのではなく、弱点を連鎖させ、環境内を横方向に移動し、権限を昇格させながら、目的に最も近づける経路を追求します。
深刻度はリスクではありません
今日、脆弱性管理の取り組みが苦戦している最大の理由の一つは、深刻度がリスクの代用として扱われるようになったことです。その理由は理解しやすいものです。深刻度スコアは検出結果を比較するための標準化された手段を提供し、チームが大量の脆弱性を分類し、修復の優先順位を定める助けになります。
しかし脆弱性が本当に意味を持つのは、それが攻撃者の目的達成能力に寄与する場合に限られます。その目的とは、機密データへのアクセスであれ、権限の昇格であれ、環境内での横移動であれ同じです。いずれの場合も、問うべきは「この脆弱性はどれほど深刻か」ではなく、「この弱点は、価値あるものへの経路の一部として利用され得るか」なのです。
この二つは根本的に異なる問いです。一方は検出結果の特性を測るものであり、もう一方は攻撃者にとってそれが生み出す機会を評価するものです。環境の相互接続が進むにつれ、この二つの視点の間のギャップは広がり続けています。
エクスポージャーは脆弱性より大きな概念です
可視性はどの脆弱性が存在するかを教えてくれます。エクスポージャーは、攻撃者がそれをどう利用できるかを教えてくれます。
この違いがますます重要になっているのは、エクスポージャーが脆弱性よりも広範な概念だからです。エクスポージャーには、弱点、ID、権限、資産、信頼関係、そして攻撃者に機会を生み出すビジネスシステムの間の関係性が含まれます。
脆弱性はエクスポージャーの一因になり得ますが、それがすべてを物語ることはほとんどありません。過剰な権限を持つシステム上に存在する、深刻度の低い脆弱性を考えてみてください。単独で見れば、どちらの問題も緊急性が高いようには見えないかもしれません。しかし両者が組み合わさると、機密データや重要インフラへの直接的な経路を生み出す可能性があります。
次に、価値の低いシステムを侵害した攻撃者を考えてみましょう。従来型の脆弱性管理モデルでは、焦点は依然として侵入を可能にした脆弱性に当てられます。一方、エクスポージャー管理モデルでは、焦点はその後に何が起きるかへと移ります。
- 攻撃者は何に到達できるのか
- どのIDが悪用され得るのか
- どの権限が悪用され得るのか
- どのシステムがアクセス可能になるのか
脆弱性が侵入を可能にしたのだとしても、影響の大きさを決めるのはエクスポージャーです。だからこそ、エクスポージャーを理解するには個々の検出結果を超えて、環境内で弱点同士がどう相互作用するかを評価する必要があるのです。
同じ原則は、クラウド環境、ID管理システム、Active Directory、サードパーティアクセス、ハイブリッド環境全般にも当てはまります。攻撃者は脆弱性が存在するという理由だけで組織を侵害するわけではありません。複数の条件が重なり、価値あるものに到達できる機会が生まれることによって、組織を侵害するのです。
それこそがエクスポージャーの定義です。
脆弱性管理がエクスポージャー管理に置き換わりつつある理由
攻撃者はすでにこの転換を果たしています。業界はようやくそれに追いつこうとしているところです。
脆弱性管理は、組織が「何が壊れているか」を理解する助けになりました。エクスポージャー管理は、組織が「攻撃者が実際に何をできるか」を理解する助けになります。
環境の相互接続が進む中で、目指すべきはもはやすべての脆弱性を特定することではありません。目指すべきは、どの弱点の組み合わせが意味のあるリスクを生み出しているのか、そしてどこに対処すればそのリスクを最も効果的に減らせるのかを理解することです。
CISOにとって、これは議論そのものを変えることになります。
これまでのように
- 脆弱性はいくつあるのか
- どれだけ速くパッチを当てられているか
と問う代わりに、より重要な問いは次のようなものになります。
- 攻撃者は実際に何に到達できるのか
- どのエクスポージャーが意味のあるビジネスリスクを生み出しているのか
- 最初に何を修正すべきか
- 自分たちは攻撃されにくくなっているのか
これらはエクスポージャー管理における問いです。そして攻撃者が機械的な速度で機会を特定し悪用する新たな手段を手にするにつれ、これらはますます重要な問いになっています。
組織がCTEMを通じてどのようにエクスポージャー管理を実践しているかについては、「Operationalizing CTEM: A Practical Playbook for Continuous Threat Exposure Management」をダウンロードしてご確認ください。先進的なチームが可視性の先を見据え、測定可能なエクスポージャー削減に焦点を当てたプログラムをどのように構築しているかを学ぶことができます。
