c4.8 脆弱性管理チームを構築する
このレベルでは、専任の脆弱性管理チームがプロセスを所有します。新規脆弱性の追跡、重大度基準と是正 SLA の設定、修正の調整、そして各チームに自チームのワークロードの脆弱性の可視性を提供します。
実装ガイダンス
チームが所有するもの
脆弱性管理チームは、場当たり的なパッチ適用を統治されたプロセスに変えます。その責任には次が含まれます。
- 新規脆弱性の追跡と、開発チームへのアドバイザリの発行。
- 重大な脆弱性が発生したときのアラートとエスカレーション、および是正の調整。
- 重大度の分類方法（CVSS、EPSS、SSVC、VPR）と、各重大度を修正すべき期限の定義。
- DevOps チームからの是正 SLA へのコミットメント取得（または CISO/CIO の支持のもとトップダウンで強制）。
- 是正時間の測定と、各チーム・各マネージャーへの、自ワークロードの脆弱性ダッシュボードの提供。
自動修正 vs. エスカレーションのルールを定義する
逸脱を是正する合意されたプロセスを持ちます。業界とリスク許容度に合わせて調整する例:
- 非本番 OS の重大な脆弱性: X 時間内に適用されなければパッチを自動適用。
- 本番 OS の重大な脆弱性: X 時間内に適用されなければエスカレーション。
- コード内の高/重大な脆弱性: X 時間内に修正されなければチームの Security Champion に連絡。当日中に解決しなければエスカレーション。
チーム別・マネージャー別の集約ダッシュボードは、脆弱性修正への関与を促します。
How to validate
- 上記の責任を持つ脆弱性管理チームはありますか？
- 重大度基準と是正 SLA は定義され、DevOps と合意されていますか？
- 古くなった脆弱性に対する自動修正またはエスカレーションのルールが構成されていますか？
- 各チームは自ワークロードの脆弱性の可視性を持っていますか？
Threats addressed
- 大規模な悪用の多くは脆弱性が公開されてから数日〜数週間後に発生し、それでも成功します。組織が時間内にパッチを当てるチーム・プロセス・ツールを欠いているためです。
- すべてを即座にパッチするのは大規模では不可能で、パッチを当てないリスクも高すぎます。そのため重大度ベースの定義と SLA がないと、誤った脆弱性が先に、あるいは遅すぎるタイミングで修正されます。