悪用可能性、資産のコンテキスト、攻撃パス、AIによる分析を活用し、実際のリスクに基づいて優先順位を付ける――脆弱性管理がCVSSを超えて進化しなければならない理由を解説します。
サイバーセキュリティチームの問題は、脆弱性を発見できていないことではありません。本当に対処すべき脆弱性に手が回っていないことです。
脆弱性に関するデータの量は、組織の対応能力をはるかに上回るペースで増え続けています。2025年には新たな脆弱性が約49,000件発見されましたが、そのうち開示からわずか数日、あるいは数時間以内に悪用されるケースの割合は増加の一途をたどっています。
AI支援ツールの登場によって、この時間軸はさらに圧縮されつつあります。攻撃者はこうしたツールを使って悪用可能な経路をより速く特定し、武器化できるようになっています。
それにもかかわらず、多くの組織は依然として数千件規模の未処理案件を抱え、どれを先に修正するかを深刻度スコアだけで判断しています。
このモデルはすでに限界を迎えつつあります。
CVSSだけではもはや不十分な理由
CVSSのようなフレームワークは、一貫性を提供するために設計されたものであり、正確性を追求したものではありません。技術的な特性に基づいて深刻度スコアを割り当てますが、その脆弱性が特定の環境の中で実際にどのように存在しているかまでは考慮していません。
2つの脆弱性が同じクリティカルという評価であっても、露出状況、アクセス経路、ビジネス上のコンテキストによってリスクの水準はまったく異なる場合があります。スコアはこうした違いを反映しておらず、AIが主導する環境では露出状況の変化がより速いため、このギャップはさらに広がっていきます。
ここに脆弱性管理が崩れ始める要因があります。チームは理論上のリスクをあたかも差し迫った脅威であるかのように扱ってしまう一方で、実際に到達可能な露出は未対応のまま放置されてしまうのです。
データが一貫して示しているのは、実際に悪用される脆弱性はごく一部にすぎないという事実です。それにもかかわらず、リソースはあたかもすべての脆弱性が同じ重みを持つかのように配分されがちです。一方でAIを活用する攻撃者は選別を進め、悪用に至る最短経路に的を絞るようになっています。
結果は目に見えています。リスクを減らすことよりも、件数をこなすことに時間が浪費されてしまうのです。
コンテキストが脆弱性の優先順位付けを変える
コンテキストを重視した脆弱性管理は、このモデルを一変させます。脆弱性がどれほど深刻かを問うのではなく、その脆弱性が攻撃者にとって実行可能な侵入経路になり得るかどうかを問うのです。
AIの影響を受ける脅威環境において、この問いは極めて重要な意味を持ちます。攻撃者はもはや手当たり次第に探りを入れるのではなく、自動化と機械学習を使って環境をマッピングし、複数の露出をつなぎ合わせて攻撃を組み立てているからです。
この新しいモデルに対応するには、CVSSだけにとどまらず、資産の重要度、外部への露出、アイデンティティの権限、そしてアクティブな脅威インテリジェンスを取り込む必要があります。
さらに、AIシステムやエージェント、自動化されたワークフローがこうした資産とどのように相互作用し、従来型のコントロールでは必ずしも可視化されない形でアクセス経路を拡大しているかを、しっかりと理解しておくことも欠かせません。
これらの要素を総合的に考慮することで、優先順位付けはより地に足のついたものになります。
孤立したシステム上の高深刻度の脆弱性は即座の対応を必要としない場合がある一方、機密データに紐づく接続された資産上の低深刻度の問題は当然対応が必要です。もしその資産が昇格した権限を持つAI主導のプロセスやエージェントを通じてもアクセス可能であれば、リスクと緊急性はさらに高まります。
この変化はセキュリティチームの働き方を変えます。脆弱性の件数を管理するのではなく、リスクそのものを管理するようになるのです。スコアに反応するのではなく、AIの支援をますます受けるようになった攻撃者が実際にどう動くかを反映した状況に対応するようになります。
脆弱性のリスクはもはや静的なものではない
この違いは、環境がより動的になるにつれてますます重要性を増します。
クラウドインフラ、API、サードパーティ連携は絶えず変化を生み出します。AIエージェントと自動化レイヤーはさらに別の次元を加え、システムとデータの間に新たな相互作用を生み出します。資産は継続的に作成・変更・廃止され、しばしば人間による直接の監視を経ないまま行われています。
そうした環境におけるリスクは静的なものではありません。インフラやそれを支える自動化とともに進化し続けます。
静的なスコアリングモデルはこの変化についていけません。それはあくまでスナップショットであり、現在の状態を表すものではないからです。
今日は低リスクに見える脆弱性が、露出状況が変化したり、自動化されたワークフローを通じてアクセス範囲が拡大したり、あるいはAI主導の攻撃者が実行可能な悪用経路を見つけ出したりすることで、明日には高リスクに変わる可能性があります。継続的な再評価がなければ、優先順位付けはあっという間に陳腐化してしまいます。
コンテキストを重視するアプローチは、こうした変化に適応できるよう設計されています。現在の状況を継続的に評価し、優先順位付けを実際の露出状況と一致させます。防御目的でAIを活用すれば、資産・アイデンティティ・行動にまたがるシグナルを相関させ、最も重要な脆弱性を浮かび上がらせることができます。
優先順位付けの改善がセキュリティノイズを減らす
この運用上のインパクトは即座に現れます。Secureのある事例では、数千件に及ぶ検出結果を攻撃パスに集約したことで、対応を要するセキュリティノイズが70%削減されました。
その効果は明確かつ測定可能です。アラート疲れは減少します。修復対応はより的確になります。平均修復時間は短縮されます。チームはトリアージに費やす時間を減らし、悪用可能な露出の解消により多くの時間を割けるようになります。
実際に悪用された脆弱性の多くは、すでに存在が把握されていながら、期限内に修正されていなかったものです。
問題は「気づいていなかったこと」ではありません。優先順位付けと実行にあったのです。
自動化が継続的な優先順位付けを可能にする
このアプローチを持続可能にするのは自動化です。脆弱性データの量と流入速度を考えると、手作業でのトリアージはもはや現実的ではありません。
コンテキストは、資産、構成設定、脅威インテリジェンスの情報源にわたって継続的に適用されなければならず、そのためにはデータをリアルタイムで取り込み、分析できるシステムが必要になります。AIによる分析はこのプロセスを加速させ、人手では検出が難しいパターンを見つけ出します。
自動化はまた、特定と修復の間にあるギャップも埋めます。多くの環境では、脆弱性は速やかに特定されるものの、ワークフローの分断や責任の所在が不明確なために、対応されないまま放置されています。
優先順位付けと修復を自動化されたプロセスに統合することで、こうした遅延は縮小し、露出している期間も短くなります。
深刻度スコア依存から脱却する方法
それでも、多くの組織は依然として深刻度スコアに大きく依存しています。脆弱性が実際の攻撃パスとどうつながっているかを可視化できていないためです。これはツールの限界ではなく、アプローチそのものの限界です。
コンテキストを重視するモデルへの移行は、既存のシステムを置き換えることを意味しません。それらを違う形で使いこなすということです。
脆弱性データには資産と脅威に関するコンテキストを加えて充実させる必要があります。優先順位付けは悪用可能性とビジネスへの影響を反映したものでなければなりません。リスクは、環境や自動化レイヤーの変化に応じて継続的に再評価される必要があります。
目的は脆弱性を完全になくすことではありません――それは実現不可能です。目的は、最も重要な脆弱性が悪用される前に確実に対処し、それがもたらすリスクを軽減することにあります。
この実践的で実行可能な目的こそが、攻撃者の現在の行動様式と合致するものです。
速度、規模、そしてますますAI主導の意思決定によって特徴づけられるこの脅威環境において、コンテキストこそが脆弱性管理を実効性あるものにするのです。
翻訳元: https://www.esecurityplanet.com/threats/news-why-vulnerability-management-moves-past-cvss/
