直すべき箇所が3000件、どこから手をつけるか

救急外来に行くと不思議なことが起こります。自分より後に来た人が先に呼ばれるのです。受付に抗議したくなりますよね。ところが救急外来は 来た順に呼びません。 入ってくる人ごとに短く状態を診て等級をつけたあと、危険な順に呼びます。これをトリアージといいます。フランス語で「選り分ける」という意味です。

トリアージがなければどうなるでしょうか。足首を捻挫した人が先に来たという理由で、心筋梗塞の患者より前に並びます。全員を公平に扱ったように見えますが、実際には最も危険な人を見落としたのです。

セキュリティ診断の結果を初めて受け取った人が経験するのが、まさにこれです。

リストは長く、手は二つしかない

推定 クラウドアカウントを一つきちんと洗い出すと、直すべき項目が数百から数千行になって出てきます。開いてみると全部直さなければならないように見えます。ところが今四半期に実際に手をつけられるのは、そのうちの一部です。人も時間も決まっているからです。

このとき、ほとんどの場合は上から順番に処理します。受付順に呼ぶ救急外来です。

深刻だという言葉と危険だという言葉は違う

事実 脆弱性には通常、深刻度スコアがつきます。CVSSという公開基準で0から10までつけます。破られたときにどれだけ大事になるかを測るスコアです。

ここに一つ落とし穴があります。深刻度は どれだけ痛いか を言うだけで、それが実際に起こりそうか は教えてくれません。トリアージでいえば、症状の重さだけを見て、いま進行中かどうかは見ていないことになります。

事実 EPSSは、その欠けた軸を埋める指標です。FIRSTが運営する公開指標で、ある脆弱性が 近い時期に実際に悪用される確率 を0から1の間の数字で出します。観測された攻撃データを根拠に計算し、状況が変われば点数も更新されます。

二つの指標は競合関係ではありません。互いに違うものを測っています。

第2回で見た5×5の尺度を覚えているなら、位置がすぐに見えます。EPSSは縦軸(発生可能性)、CVSS側は横軸(影響度) です。二つの軸が交わるマスが本当の順番です。

そのため、こういうことが起こります。スコアが恐ろしく高いのに現実では誰も手を出さない脆弱性があり、スコアは中程度なのに攻撃ツールがすでに出回っている脆弱性があります。リストを深刻度だけで並べ替えると、後者が下に押しやられます。

RMFがやること

事実 SecurityHero RMFはProwlerで資産・IAM・ネットワークを点検したあと、EPSSで悪用可能性を評価します。脆弱性管理の領域でやることが、まさにこの並べ替えです — 実際に悪用される可能性が高いものを前に上げます。

事実 そしてこの順番は文書として残ります。NIS2第21条はリスク管理措置を文書として残し、監査で立証するよう求めており、RMFはCIR 2024/2690とENISA技術実装ガイダンス(2025.6)を参照して点検結果を対応根拠として整理します。

推定 監査の場で困る瞬間は「なぜまだ直していないのですか」という質問の前だと考えます。このとき必要なのは言い訳ではなく 判断の根拠 です。救急外来の記録票に「この患者は3等級に分類して後回しにした」と書かれているのと、何の記録もなくただ遅く診たのとは、まったく違う話です。

押さえておきたいこと

• この記事は法律相談ではありません。 自社がNIS2の適用対象なのか、どの程度まで措置すれば監督機関が十分と見なすのかは、ここでは答えられません。法律専門家が判断することです。
• どのスコアから先に直すべきかに正解はありません。 基準線は各組織の資産の性格と、こなせる作業量によって変わります。この記事は軸が二つあるということまでしか言いません。
• RMFレポートは認証書ではありません。 提出と審査に使う 根拠資料 です。認証書の発行、インシデント報告(NIS2第23条など)、法的代理は含みません。

シリーズ目次

1. EUに製品を売るのになぜセキュリティ書類を出さなければならないのか
2. リスク評価という言葉が難しく聞こえる理由
3. 直すべき箇所が3000件、どこから手をつけるか ← 今の記事
4. 何もインストールせずにどうやって点検するのか
5. 「データが国境を越えません」とはどういう意味か
6. 書類一つで複数の国に対応する