脆弱性に優先順位をつけてアップデートするにはどうすべきか？

脆弱性の報告は年々増加している。しかも深刻度が「緊急(Critical)」に分類される脆弱性の数が増加しており、組織は毎日のように新しい脆弱性報告を受け、運用しているシステムをどのようにアップデートすればよいか頭を悩ませている。または、思考を停止させ問題が発生するまで放置するというケースもある。適切な対応を取らなかった場合、最終的にどのような被害を招くことになるか検討がつかない状況であり、事業継続において高い懸念要因となっている。

現実問題として、報告されるすべての脆弱性に対して迅速にアップデートを適用することは不可能な状況にある。可能な対処方法は報告される脆弱性に対して「優先順位」を付け、優先順位の高いものから順次手を付けていく方法だ。複数のセキュリティベンダーやサイバーセキュリティ当局が、この方法を採用するようアドバイスを出すようになっている。