Published: 2024-06-26 08:00
ISOG-J「脆弱性トリアージガイドライン作成の手引き」公開
日本セキュリティオペレーション事業者協議会（ISOG-J）は5月24日、「脆弱性トリアージガイドライン作成の手引き」を公開した。
同ドキュメントは、組織が脆弱性に適切に対応することを目的として、脆弱性診断を実施した際に提供された報告書に記載された脆弱性対応の優先順位付け（トリアージ）を行うために、その組織に適したトリアージガイドラインを作成するための手引きで、現時点で第1章までの公開となっている。
第1章では、対応基本方針の策定について説明しており、 この段階でのトリアージ基準は、高い専門知識を持っていない人でも判断できる程度にとどめている。それにより迅速に優先順位付けができるようになり、優先度について関係者全体の意識をある程度揃えることができるが、簡易的な判断基準であるため、攻撃による実際のリスクとの乖離がある可能性がある。
第1章では「脆弱性の影響分析」、「リスク判定基準」、「対応の要否と期限を決める」といった対応基本方針を策定することで、迅速に最低限のトリアージが可能な体制を構築することを目的としており、下記の特徴がある。
・脆弱性やリスク評価に関する専門知識がなくても、素早くトリアージを行うことができる
・主観的な判断が入らず、誰がトリアージしても同じ結果となる
・攻撃コードの存在の有無などによって、実際に脅威が発生するリスクと乖離する可能性がある
・素早くトリアージを行うことができる反面、対応しなければならない脆弱性が多くなり、対応が過剰になる可能性がある
トリアージの精度向上について記載した第2章以降は今後執筆予定。
| # | 言葉 | 意味 |
|---|---|---|
| 7 | 脆弱性 | ぜいじゃくせい (脆弱性) : vulnerability; weakness; fragility |
| 7 | 対応 | たいおう (対応) : 1. correspondence (to); equivalence 2. suitability; coordination; matching; being appropriate (for) |
| 4 | 第 | だい (第) : prefix for forming ordinal numbers |
| 4 | 章 | しょう (章) : 1. chapter; section 2. medal; badge; insignia |
| 3 | 可能性 | かのうせい (可能性) : potentiality; likelihood; possibility; availability |
| 2 | 作成 | さくせい (作成) : drawing up (e.g. legal document, contract, will, etc.); preparing; writing; framing; making; producing; creating; creation |
| 2 | 手引き | てびき (手引き) : 1. guidance; lead; acting as guide 2. guide; primer; guidebook; handbook; manual |
| 2 | 公開 | こうかい (公開) : opening to the public; making available to the public; putting on display; exhibiting; showing (play, movie, etc.); holding (interview, etc.); open; public |
| 2 | 組織 | そしき (組織) : 1. organization; organisation; formation 2. structure; construction; setup; constitution |
| 2 | 目的 | もくてき (目的) : purpose; goal; aim; objective; intention |
| 2 | 記載 | きさい (記載) : mention (in a document); record; entry; statement; listing |
| 2 | 優先順位 | ゆうせんじゅんい (優先順位) : priority; order of precedence |
| 2 | 付け | つけ (付け) : 1. bill; bill of sale; payment invoice 2. tab (for later payment); credit |
| 2 | 基本方針 | きほんほうしん (基本方針) : basic policy; fundamental policy; fundamental plan of action |
| 2 | 策定 | さくてい (策定) : formulation (of a plan, policy, etc.); decision; settling on |
| 2 | 専門知識 | せんもんちしき (専門知識) : expertise; special knowledge; technical knowledge; expert knowledge |
| 2 | 判断 | はんだん (判断) : 1. judgment; judgement; decision; conclusion; adjudication 2. divination |
| 2 | 程度 | ていど (程度) : degree; amount; grade; standard; of the order of (following a number); about; approximately |
| 2 | 迅速 | じんそく (迅速) : quick; fast; rapid; swift; prompt; streamlined; expedited; expeditious |
| 2 | 攻撃 | こうげき (攻撃) : 1. attack; assault; raid; onslaught; offensive 2. criticism; censure; denunciation; condemnation |
| 2 | 実際 | じっさい (実際) : 1. reality; actuality; truth; fact; actual conditions 2. practice (as opposed to theory) |
| 2 | 乖離 | かいり (乖離) : divergence; alienation; deviation; estrangement; separation; detachment |
| 1 | 日本 | にほん (日本) : Japan |
| 1 | 事業者 | じぎょうしゃ (事業者) : 1. business person 2. operator; carrier (telecommunications, transport, etc.) |
| 1 | 協議会 | きょうぎかい (協議会) : conference; council; convention |
| 1 | 適切 | てきせつ (適切) : appropriate; suitable; fitting; apt; proper; right; pertinent; relevant |
| 1 | 診断 | しんだん (診断) : diagnosis; medical examination |
| 1 | 実施 | じっし (実施) : enforcement; implementation; putting into practice; carrying out; operation; working (e.g. working parameters); enactment |
| 1 | 際 | きわ (際) : 1. edge; brink; verge; side 2. time; moment of |
| 1 | 提供 | ていきょう (提供) : 1. offer; tender; providing; supplying; making available; donating (blood, organs, etc.) 2. sponsoring (a TV program) |
| 1 | 報告書 | ほうこくしょ (報告書) : (written) report |
| 1 | 適する | てきする (適する) : to fit; to suit |
| 1 | 現時点 | げんじてん (現時点) : present point (i.e. in history); at the present time |
| 1 | 段階 | だんかい (段階) : grade; level; stage; class; phase; steps; order; gradation |
| 1 | 基準 | きじゅん (基準) : standard; basis; criterion; norm; reference; datum |
| 1 | 持つ | もつ (持つ) : 1. to hold (in one's hand); to take; to carry 2. to possess; to have; to own |
| 1 | とどめる | とどめる (留める) : 1. to stop; to stay (e.g. the night); to cease; to put an end to 2. to contain; to keep (in position, in place); to limit |
| 1 | 優先度 | ゆうせんど (優先度) : degree of relative priority |
| 1 | 関係者 | かんけいしゃ (関係者) : person concerned; people involved (in an event); those concerned; staff |
| 1 | 全体 | ぜんたい (全体) : whole; entirety; whatever (is the matter) |
| 1 | 意識 | いしき (意識) : 1. consciousness 2. becoming aware (of); awareness; sense |
| 1 | 揃える | そろえる (揃える) : 1. to collect; to gather; to get together; to complete (a collection) 2. to arrange; to put in order; to prepare; to get ready |
| 1 | 簡易 | かんい (簡易) : simplicity; convenience; easiness; quasi- |
| 1 | 的 | てき (的) : 1. -ical; -ive; -al; -ic; -y 2. -like; -ish; -sort of; -kind of |
| 1 | 判断基準 | はんだんきじゅん (判断基準) : evaluation criteria; evaluation standard |
| 1 | 影響 | えいきょう (影響) : 1. influence; effect 2. to influence; to affect; to have an influence on; to impact; to have an effect on |
| 1 | 分析 | ぶんせき (分析) : analysis |
| 1 | 判定基準 | はんていきじゅん (判定基準) : criterion |
| 1 | 要否 | ようひ (要否) : necessity (or lack thereof) |
| 1 | 期限 | きげん (期限) : 1. term; period; time frame 2. time limit; deadline; cutoff (date) |
| 1 | いう | ゆう (結う) : 1. to do up (hair); to dress; to arrange 2. to tie; to bind; to fasten; to make (a fence) |
| 1 | 最低限 | さいていげん (最低限) : 1. minimum 2. at the very least |
| 1 | 可能 | かのう (可能) : possible; potential; practicable; feasible |
| 1 | 体制 | たいせい (体制) : order; system; structure; set-up; organization; organisation |
| 1 | 構築 | こうちく (構築) : construction; building; putting up; erecting; creation; formulation; architecture (systems, agreement, etc.) |
| 1 | 下記 | かき (下記) : the following |
| 1 | 特徴 | とくちょう (特徴) : feature; trait; characteristic; peculiarity; distinction |
| 1 | 評価 | ひょうか (評価) : 1. valuation; appraisal; evaluation; assessment; estimation; rating; judging 2. appreciation; recognition; acknowledgement; rating highly; praising |
| 1 | 関する | かんする (関する) : to concern; to be related |
| 1 | 主観的 | しゅかんてき (主観的) : subjective |
| 1 | 入る | いる (入る) : to get in; to go in; to come in; to flow into; to set; to set in |
| 1 | 結果 | けっか (結果) : 1. result; consequence; outcome; effect 2. coming to fruition; bearing fruit |
| 1 | 存在 | そんざい (存在) : existence; being |
| 1 | 有無 | うむ (有無) : 1. existence or nonexistence; presence or absence 2. consent or refusal; yes or no |
| 1 | よる | よる (因る) : 1. to be due to; to be caused by 2. to depend on; to turn on |
| 1 | 脅威 | きょうい (脅威) : threat; menace |
| 1 | 発生 | はっせい (発生) : 1. outbreak; spring forth; occurrence; incidence 2. generation (e.g. of power or heat); genesis; origin |
| 1 | 反面 | はんめん (反面) : on the other hand; opposite side; reverse |
| 1 | 多く | おおく (多く) : 1. many; much; plenty; a lot 2. majority (of); greater part (of) |
| 1 | 過剰 | かじょう (過剰) : excess; surplus; superabundance; overabundance |
| 1 | 精度 | せいど (精度) : precision; accuracy |
| 1 | 向上 | こうじょう (向上) : elevation; rise; improvement; advancement; progress |
| 1 | 以降 | いこう (以降) : on and after; as from; hereafter; thereafter; since |
| 1 | 今後 | こんご (今後) : from now on; hereafter |
| 1 | 執筆 | しっぴつ (執筆) : writing (e.g. as a profession) |