指標を用いた脆弱性管理業務の改善

ソフトウェアを用いた製品・サービスにおける脆弱性に対して、脆弱性を把握し対処を行う一連の業務は「脆弱性管理」などと呼ばれます。以前のNEC セキュリティブログ「簡単！Excelからはじめる脆弱性管理 ～トリアージ～」[1]の中でも、収集した脆弱性情報やそれぞれの脆弱性情報に対する対処状況をエクセルに記載し、優先度を付けて対応していく方法を紹介しました。 一般に業務活動、特に繰り返し実施される業務を改善していくためには、対象とする業務活動から計測される指標の管理が重要です。脆弱性管理に関しても同じで、NIST SP800-40 Rev.4[2] 「3.6 Choose Actionable Enterprise-Level Patching Metrics」の中でも、継続的な改善のために有用な指標を特定することや、指標の測定値を頻繁にかつできる限り正確にモニタリングしていくことの重要性が述べ