脆弱性とリスク管理

Japan Vulnerability Notes／脆弱性レポート 一覧 (jvn.jp)では、日本で使用されているソフトウェアなどの脆弱性関連情報とその対策情報が提供されている。

情報システム全般の脆弱性関連情報なので多岐に亘るが、Webサイトの安全な運用に必要な脆弱性情報も提供されており、該当する場合には対応を検討する。これはWebサイト運用におけるリスク管理の基本と言える。

Webサイトを構成するプラットフォームの脆弱性は、脆弱性のある機能を実際に使っていて、サイバー攻撃の手段がある場合にセキュリティ上の脅威となる。顕在化した脆弱性によるセキュリティ上の脅威が明らかになった場合には、総合的な視野からのリスク管理が求められる。

該当する脆弱性をついたサイバー攻撃により、財産的価値のある情報の漏洩、個人情報の漏洩、サービス停止など大きな被害が想定される場合には緊急の対策を検討する。緊急ではない場合でも、対策に要するコスト、期間を見積り、想定される被害とのトレードオフを勘案して、対策時期、対策範囲を判断することになる。

脆弱性レポートの見落としなどで潜在化した脆弱性は脆弱性診断で顕在化できることがある。脆弱性診断はリスク管理の一コマではあるが、被害の発生を防ぐ効果は大きい。新たにWebサイトをリリースする際には必須であり、その後もできるだけ頻繁に実施を継続することが望ましい。