情シスを悩ます「脆弱性管理」のあるべき姿を考える

脆弱性管理の難しさ

脆弱性管理は非常に難しいです。理由はいくつかあります。
・CVSSだけでみると、ほとんどが緊急度が高になっていまう。本当はそうではない。
・他社で重大な脆弱性が、自社でも重大とは限らない
・脆弱性は、時間であったり、組織の対策によって変わる
・リスク＝情報資産の価値×脆弱性×脅威であるので、同じ脆弱性であっても、情報資産の価値によってもリスクが変わる
・本当に攻撃が成立するかの判断には、セキュリティやシステムに関するかなりのスキルが必要
・脆弱性があれば、それを塞ぐのではあるが、そう簡単にシステムを止めることはできないし、ソフトウェアをアップデートするっていうのは、アプリケーション試験も必要で、かなり大変な作業になる場合がある

勉強会の目的

・脆弱性管理の全体像を理解するる
・脆弱性管理について、どんな選択肢があるかを理解する
・TenableやfutureVulsの脆弱性管理のツールを理解し、効率的な脆弱性管理に役立てる

参加対象者

・脆弱性管理について基礎から学びたい人
・情報システム部に所属し、脆弱性管理を実施されている人
・ネットワークやセキュリティの用語を概ね知っている（または当日までにさらっと勉強する）
・勉強会の運営に理解をしてくださり、協力していただける人
※3つ目に関しては、知っている前提で講義を進めます。

内容およびタイムスケジュール

・現在、カリキュラムを検討中なので、内容は変更すると思います。 ・全体像はWEST-SECによるDDoS対策の全体像（40分）、Tenable（30分）、FutureVuls（30分）、導入事例やパネルディスカッション（20分） ・お互い悪口は言わない

必要なもの

・Web会議ツール（TeamsやCiscoWebEXなど）の環境。

お願い

・今後のカリキュラムや運営の向上のためにアンケートをお願いします。
・皆様のご協力のもとで運営が成り立っています。事務局側の不手際があるかもしれませんが、ご理解よろしくお願いします。

主催メンバー

・粕淵 卓（NTT西日本セキュリティプリンシパル/文筆家/農林水産省最高情報セキュリティアドバイザー）

特別講師

Tenable社
Future社