セキュリティの現場では、日々膨大な脆弱性が発生している。三井不動産は、更新情報も含めると年に数万件報告される脆弱性の中から、自社にとって極めて緊急性の高い数件に絞り込んでいる。目的は脆弱性管理の負荷軽減ではない。限られたリソースを集中させ、顧客データを死守するためだ。
昨今、様々なセキュリティ製品がリリースされている。しかし、対策を講じていても攻撃被害が相次ぐのはなぜか。その一因として、脆弱性公開後に回避策を講じるための猶予が数時間しかないことも挙げられる。脆弱性が公開されると、世界中の攻撃者がアタックを開始する。攻撃の急速な拡大は、定期的なパッチ適用だけでは防ぎ切れない。公開前情報が悪用されるケースも増加しており、即時対応が求められる。
サイバーセキュリティにおいては、インターネットからアクセス可能なIT資産、すなわち「アタックサーフェス」の防御がベースラインとなる。自社に影響を及ぼす脆弱性を見つけ出し優先的に対処する必要がある。ポイントは、脆弱性の絞り込みとアタックサーフェスの可視化だ。
三井不動産が選択したのは、伊藤忠テクノソリューションズ（以下、CTC）が独自に提供する脅威・脆弱性情報DB「Threat Intelligence Lab（以下、TIL）」と、アタックサーフェス管理サービス「Attack Surface Management（以下、ASM）」である。TILとASMにより、脆弱性を数万件から数十件に絞り込み、さらにCTCエンジニアのサポートを受けて数件に限定。PoC（概念実証）では、自社に影響のある緊急性の高い脆弱性を絞り込めることを実証した。
新しい脆弱性や設定ミスなどにより、日々セキュリティの状況は変わる。途切れることなく、継続的・連続的に脅威を評価し続ける必要がある。三井不動産とCTCの取り組みを通じて、「明日見つかるかもしれない緊急脆弱性」の対処法が見えてきた。