脆弱性対応の猶予は急速に狭まっている：CISAとファイブアイズが公共部門セキュリティについて今伝えていること
CISAのBOD 26-04と新たなファイブアイズ共同声明は、脆弱性管理における同じ喫緊の課題を浮き彫りにしています。これらの動きが自組織のセキュリティプログラムに何を意味するのかを解説します。
- 米国サイバーセキュリティ・インフラセキュリティ庁（CISA）が発出した拘束的運用指令（BOD）26-04は、固定的なパッチ適用期限をリスク階層型の優先順位付けに置き換えるもので、最もリスクの高い脆弱性には3日以内の修復が求められます。
- ファイブアイズ各機関は、AIが攻撃者の偵察とリサーチを加速させることで、悪用までのタイムラインが数年から数カ月へと縮まっていると警告しています。
- この指令の考え方は連邦機関にとどまらず、より少ないリソースで同じリスクに直面する州・地方政府や重要インフラ組織にも当てはまります。
- 固定スケジュールのパッチ適用では、AIによって加速する脅威に追いつけません。継続的なリスクベースの評価が不可欠になりつつあります。
最近、公共部門のセキュリティリーダーであれば必ず注目すべき、2つの重要な動きがありました。1つ目は、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）による「拘束的運用指令（BOD）26-04」（英語）の発出です。この指令は、連邦文民機関に求められる脆弱性修復の優先順位付けのあり方を根本から変えるものです。2つ目は、ファイブアイズ各国のサイバーセキュリティ機関による共同声明（英語）です。AIによって、脆弱性の発見から悪用までの時間が急速に圧縮されつつあると警告しています。この変化は、組織のリスク管理のあり方を早急に見直す必要があるほど大きなものです。2つの文書が伝えるメッセージは明確です。固定スケジュールでパッチを適用する従来のやり方は、もはや通用しません。
BOD 26-04が拘束力を持つのは連邦文民機関に限られますが、その背景にある考え方は公共部門全体に当てはまります。州・地方・部族・準州の政府、教育機関、そして市民が日々依存する重要インフラも、同じように短くなった猶予期間に直面しています。しかも多くの場合、連邦機関よりも少ない人員と厳しい予算でそれに対処しなければなりません。
CISA BOD 26-04：リスクベースの脆弱性優先順位付け
長年にわたり、連邦政府の脆弱性管理は比較的単純なタイムラインで運用されてきました。悪用が確認された脆弱性（KEV: Known Exploited Vulnerabilities）については、状況にかかわらず所定の日数以内にパッチを適用する、というものです。BOD 26-04は、この画一的なモデルを、4つの具体的な要素に基づくリスク階層型のフレームワークに置き換えます。
- 脆弱性のある資産がインターネットに公開されているか
- その脆弱性がKEVカタログに登録されているか
- 自動的に悪用され得るか
- 悪用後に攻撃者が広範な制御権を得るか
4つの要素すべてに該当する脆弱性は、3日以内の修復が義務付けられます。たとえば、KEVカタログに登録された自動悪用可能な欠陥を抱え、攻撃者に完全な制御権を許してしまう、インターネットに公開されたシステムがこれに当たります。さらに各機関には、すでに悪用が発生していないかを判断するためのフォレンジックトリアージの実施も求められます。深刻度の低い組み合わせであれば、より長い修復期間が認められます。重要な変化は、チェックリストを機械的にこなすのではなく、リスクそのものを踏まえて判断することが各機関に求められるようになった点です。
直接の適用対象である連邦文民機関以外の公共部門チームにとっても、このフレームワークは自組織に取り込む価値があります。州や地方の政府が同様の義務を課されることはほとんどありませんが、守っているのは同じ種類のインターネット公開システムであり、対峙しているのも同じ攻撃者です。このフレームワークは、成熟した組織が脆弱性管理にどう取り組みつつあるかを映し出しています。すなわち、コンプライアンス対応としてではなく、コンテキストを踏まえた継続的なリスク低減プロセスとして捉える姿勢です。
ファイブアイズ：AIが悪用までの猶予を縮めている
BOD 26-04が「どう優先順位を付けるか」を示すものだとすれば、ファイブアイズの声明は「なぜ今これほどの緊急性が求められるのか」を示すものです。米国、英国、オーストラリア、カナダ、ニュージーランドのサイバーセキュリティ機関による共同声明は端的です。フロンティアAIモデルは攻撃側のサイバー能力を根本から変えると見込まれており、そのタイムラインは数年から数カ月へと短縮されている、というのです。
実際のところ、攻撃者はAIを使って偵察を自動化し、脆弱性リサーチを加速することがますます容易になっています。その結果、欠陥が発見されてから大規模に武器化されるまでの時間が圧縮され、悪用される前にパッチを適用できる猶予はますます短くなっています。ファイブアイズ各機関は、この流れに後れを取らないために、パッチ適用プロセスの加速、アタックサーフェスの縮小、防御側のセキュリティ運用へのAI統合が必要だと具体的に指摘しています。
これは、TrendAI™の脅威インテリジェンスリサーチで確認している状況とも密接に一致します。AIは防御側だけのツールではありません。国家支援型の攻撃者やサイバー犯罪グループもまた、攻撃ツールにAIを積極的に組み込んでいます。あらゆるレベルの政府機関、重要インフラ事業者、そして市民が頼りにする公共サービスが、まさにその標的となっています。
この変化が今後意味すること
BOD 26-04とファイブアイズの声明は、単なる政策文書ではありません。脆弱性管理のパラダイムが変わりつつあるという、世界のサイバーセキュリティコミュニティの最高レベルから発せられたシグナルです。継続的なリスクコンテキストを持たず、固定スケジュールのパッチ適用にとどまっている組織は、すでに後手に回っています。AIによって悪用までのタイムラインが加速するなか、その差は広がる一方です。
公共部門のリーダーへの私からの助言は、この2つの文書を真剣に受け止めることです。指令に拘束される連邦文民機関であっても、そうでない州・地方・部族の政府であっても、この2つの文書は検討に値します。BOD 26-04のリスクフレームワークを、自組織の脆弱性優先順位付けポリシーのひな形として活用してください。AIを利用した攻撃に関するファイブアイズの警告を額面どおりに受け止め、それに沿って検知・対応のタイムラインを検証してください。そして、リスクに基づく迅速な意思決定を支える脆弱性インテリジェンス基盤を整えておくことです。
発見から悪用までの猶予は、確実に失われつつあります。この状況を最もうまく乗り切るのは、攻撃者が攻撃を自動化する速度を上回るペースで、自らの対応時間を短縮できる組織です。
TrendAI Vision One™とTrendAI™ ZDIによる支援
では、このギャップをどう埋めればよいのでしょうか。2つの文書はいずれも、多くの公共部門組織に欠けているものを指し示しています。すなわち、コンテキストを踏まえて脆弱性リスクを継続的に評価し、的確に優先順位を付け、迅速に行動する能力です。しかも多くの場合、限られた人員とリソースでこれを実現しなければなりません。まさにここで力を発揮するのが、TrendAI™ Zero Day Initiative™（ZDI）の脆弱性インテリジェンスに支えられたTrendAI Vision One™ Cyber Risk Exposure Management（CREM）です。
TrendAI™ ZDIは、特定ベンダーに依存しない世界最大のバグバウンティプログラムであり、そのインテリジェンスはCREMに直接取り込まれています。このためTrendAI Vision One™ CREMを利用する組織は、多くの場合パッチが公開される前の段階から、脆弱性をいち早く可視化できます。また、特定の欠陥が現在活発にリサーチされているのか、実際に悪用されているのかを評価するために必要なコンテキストも得られます。これこそが、BOD 26-04のリスク階層型アプローチを実行可能なものにするインテリジェンスです。
CREMは、クラウド資産、エンドポイント、アイデンティティシステム、インターネットに公開されたインフラといったアタックサーフェス全体のリスクを可視化します。そして、そのエクスポージャーを、BOD 26-04が優先順位付けに用いる要素に直接マッピングします。これにより、単に共通脆弱性評価システム（CVSS）のスコアが高い脆弱性ではなく、実際のリスクが最も高い脆弱性を特定できます。AIによって攻撃のタイムラインが短縮されるなか、こうした優先順位付けされたビューを四半期ごとのパッチサイクルの時だけでなく常時利用できることは、セキュリティの中核的な要件になりつつあります。
参考記事
The Vulnerability Window Is Closing Quickly: What CISA and Five Eyes Now Say About Public Sector Security
By Jon Clay, Vice President, Threat Intelligence · TrendAI™
翻訳：与那城 務（Platform Marketing, TrendAI Research）