VULNERABILITY ASSESSMENTセキュリティ脆弱性診断

構成図で見る、脆弱性への対応の全体像

脆弱性・脅威の情報

FIRSTEPSS：悪用可能性
CVSS：深刻度の評価指針

---

NVD・JVN・JPCERT/CC等CVE・悪用情報・ベンダーの修正情報
CISA KEV：悪用が確認された脆弱性

お客様のシステム情報

資産管理台帳機器・OS・ソフトウェア
管理担当者・重要度・外部公開状況

---

SBOM（ソフトウェア部品表）部品・ライブラリの名称
バージョン・依存関係

インフォセックアドバイザリーの支援

資産・部品ごとの照合と影響確認

どのシステムに影響するかを、診断・調査で確認

対象バージョン機能・設定到達可能性適用済みの修正

リスク評価

業務への影響と、対応の優先順位を判断

深刻度 ＋ 悪用状況 ＋ 資産の重要度 ＋ 外部公開・対策状況

お客様へご提示

影響資産・リスクの一覧

対象資産と脆弱性
優先順位・判断根拠・未確認事項

対策を進める

対応計画と修正確認

恒久対策・暫定措置・目標期限
合意した範囲で対策支援・再診断

継続的に見直し日次の情報更新・資産構成の変更を反映し、再照合・再評価

構成図は支援の全体像を示しています。情報収集・通知・診断・再診断の対象と頻度は、事前に合意した支援範囲に基づきます。

脆弱性診断と継続的な脆弱性管理

脆弱性診断では、事前に合意した対象・方法でシステムを確認し、既知の脆弱性や設定・実装上の問題を洗い出します。継続支援では、公開情報の日次収集と資産情報との照合を通じて、診断後に公表された脆弱性や評価の変更も確認します。

支援内容	確認すること
脆弱性診断	Webアプリケーションやネットワーク・サーバ等を対象に、診断時点で確認できる脆弱性や設定上の問題を調査します。対象に応じてツールによる検査と個別確認を組み合わせます。
継続的な情報収集・影響評価	新規・更新された脆弱性情報を収集し、対象資産とソフトウェア構成に照らして、影響の有無、追加調査の必要性、対応の優先順位を整理します。
対策支援・修正確認	修正プログラムの適用、設定変更、暫定措置等を提示します。合意した範囲で対応状況の確認・再診断を行い、残るリスクを整理します。

診断・再診断の実施頻度、日次収集の対象、通知条件・対応時間帯は、事前に支援範囲として定めます。攻撃シナリオに基づいて侵入経路や被害の成立を検証する場合は、ペネトレーションテストも組み合わせてご提案します。

最新情報の収集とFIRSTの指標の活用

FIRST（Forum of Incident Response and Security Teams）は、世界のセキュリティ・インシデント対応チームが参加し、情報交換や協力を進める国際的な組織です。脆弱性の深刻度を評価するCVSSや、悪用可能性を推定するEPSSに関する仕様・情報を公開しています。FIRSTについて（公式サイト）

FIRSTが公開するEPSSデータとCVSSの評価指針に加え、NVD、JVN・JPCERT/CC、CISAの既知悪用脆弱性カタログ（KEV）、製品ベンダーのアドバイザリを参照します。CVE番号を軸に、対象製品・影響を受けるバージョン・悪用情報・修正情報を整理し、公開後の訂正や更新も確認します。

主な参照先：NVD／JVN／JPCERT/CC 注意喚起／CISA KEV。指標の値と情報の確認日を記録し、更新に応じて判断を見直します。

資産管理台帳とSBOMから、影響するシステムを特定

資産管理台帳では、機器・OS・ソフトウェア、管理担当者、外部公開状況、関連する業務を確認します。SBOM（Software Bill of Materials：ソフトウェア部品表）では、アプリケーションを構成するソフトウェア部品やライブラリの名称・バージョン・依存関係を確認します。両者を結び付け、脆弱性のある部品がどの資産・サービスで使われているかを整理します。

製品名やバージョンの一致だけで影響を確定せず、該当機能の利用状況、設定、到達可能性、適用済みの修正を確認します。提供されている場合は、ベンダーの影響判定情報やVEX（脆弱性の影響・悪用可能性に関する情報）も参照します。

情報が不足する資産は「要確認」として残し、安全と判断しません。SBOMが未整備の場合も、既存の資産一覧や導入ソフトウェア情報から調査を始め、必要な構成情報の整理をご案内します。

リスクを評価し、実行できる対策を提示

脆弱性の深刻度に加えて、「どの条件で悪用されるか」「お客様の資産がその条件に当たるか」「業務にどのような影響があるか」を評価し、対応の優先順位とその理由を示します。

評価する観点	主な確認事項
技術的な深刻度	CVSSのスコア・ベクトル・評価版、攻撃に必要な条件、機密性・完全性・可用性への影響。
悪用の状況・可能性	既知の悪用事例、CISA KEVへの掲載、EPSS、ベンダーの注意喚起等。
お客様の環境	対象バージョン、脆弱な機能の使用、外部公開、アクセス制限、既存の防御策、修正の適用状況。
業務への影響	重要サービスの停止、個人情報・機密情報の漏えい、データ改ざん、他システムへの影響。

対応期限は一律に定めず、悪用状況とお客様への影響に基づき提案します。既知の悪用があり、外部から到達可能な重要資産に影響する場合などは、緊急性を高く評価します。暫定措置を講じた場合も、恒久対応と修正確認につなげます。

このような課題をお持ちのお客様へ

• 脆弱性情報が多く、自社に関係するものと優先すべき対応を判断しきれない。
• 資産管理台帳やSBOMはあるが、脆弱性対応につなげられていない。
• 定期診断の後に公表された脆弱性を、継続して把握したい。
• Webアプリケーションの公開、システムの変更・更新、取引先への説明に備えたい。

支援の流れ

お客様への納品成果物

成果物	主な内容
経営・管理者向けサマリー	対象範囲、重要な発見事項、業務への影響、優先して判断・対応すべき事項。
脆弱性・影響資産一覧	CVE番号（付与されている場合）、対象資産・部品・バージョン、影響判定と根拠、参照元、確認日。未確認事項も区別して記載します。
リスク評価・対策計画	深刻度・悪用情報・環境条件、優先順位の理由、推奨対策・暫定措置、目標期限と担当。
診断・修正確認報告	診断の対象・方法・実施日、確認した証跡、対策状況、再診断の結果と残存リスク。再診断は合意した範囲で実施します。

情報を、対策の判断と継続的な改善につなげます

お客様に影響する情報と対応理由を整理することで、調査・判断の負担を軽減し、限られた時間と人員で重要な対策から進められるよう支援します。評価の根拠と対応履歴を残し、社内や取引先への説明にも活用できる形にまとめます。

支援範囲・料金

単発の脆弱性診断、継続的な情報収集・影響評価、対策後の再診断を、ご要望に応じて組み合わせます。料金と期間は、対象資産数、アプリケーションの構成、資産情報・SBOMの整備状況、診断範囲・頻度を確認して個別にお見積りします。

診断は合意した対象・方法・時点における評価です。資産情報やSBOMの不足・更新状況によって、判定できる範囲が異なります。確認できた事実と未確認事項を明確にして報告します。

よくあるご質問

規格・指標情報の更新日：2026年10月28日。