2025年に国内組織で検知された約1,124万件の脆弱性アラートを分析し、IT資産の実態を明らかにしました。分析の結果、多くの問題が取り残されています。
PROBLEM 01CVSSスコアでは、優先順位を絞り込めない
検知したユニーク脆弱性45,779件のうち、54.0%が「High（高）」以上の深刻度に分類されました。半数以上が「重要」なら、それは優先順位として機能しません。スコア単体での順位付けが、現場の「アラート疲労」を招く構造的な要因です。
PROBLEM 02日々のタスクの大半は、OSパッケージ由来
検知タスクをソフトウェア種別で見ると、OSパッケージ由来のアラートが8,949,384件と圧倒的多数を占め、ライブラリ層（約36,600件）・アプリケーション層（約174,000件）を大きく引き離しています。内訳の上位はRHEL 8系・CentOS 7系・Amazon Linux 2などのエンタープライズLinuxで、業務要件上すぐには移行できないレガシー資産を含むインフラ基盤が、日々の脆弱性対応の主戦場です。
PROBLEM 03「即時対応」の理想と、エンタープライズの現実
最も危険度が高い「Immediate（即時対応）」判定の脆弱性でも、即時対応判定された脆弱性の修復リードタイム（パッチ適用または代替策の完了まで・2025年）は、平均88.6日・中央値45.8日でした。QAテスト、影響調査、関係部署とのスケジュール調整など、本番環境への安全なパッチ適用まで相応の検証期間が必要です。「全部を即対応」は、現実的に成立しません。
RESULT ── 同一データをリスクベースで評価した結果
0.06%
同じ約1,124万件をリスクベースで評価すると、即時対応判定は0.06%だった
「攻撃コード（Exploit）の有無」「ネットワーク到達性」「ビジネスへの影響度」という自社環境のコンテキストを掛け合わせてトリアージした結果、2025年にFutureVulsが検知した11,248,959件のうち、即時対応（Immediate）と判定されたのは6,883件・全体の0.06%でした。
出典：FutureVuls Foresight vol.3（2025年・国内130社実測）
年間48,244件（2025年実績・CVE Program公表値）にのぼる新規のCVEを追う作業と、自社の構成情報の把握を自動化。判断に必要な材料を脆弱性ごとに1画面へ集約し、「調べる時間」をなくします。
- NVD・JVN・各OSベンダ・言語コミュニティの情報に加え、KEVカタログ（CISA／VulnCheck／ENISA）、攻撃コード（Exploit/PoC）、JPCERT/CC等の注意喚起を自動取り込み
- ネットワーク機器はCisco・Fortinet・Palo Altoのアドバイザリを一次情報として取り込み、NVD掲載を待たずに検知
- ローカル／リモート／ペースト／コンテナ／SBOM／CI/CD組み込みなど、環境に応じた多様なスキャン方式で構成情報を自動収集
「攻撃コードの有無 × 攻撃の自動化可否 × 資産の露出度 × 業務影響」でリスクを評価し、SSVCに基づき対応優先度を4段階に自動分類。CVSSだけでは決まらない「自社にとっての優先度」を、組織のルールに揃えてFutureVulsで設定可能です。
- 導出した優先度に応じて、タスクのステータス・優先度・対応期限を自動設定
- 判定に使う決定木は、自社のセキュリティポリシーに合わせてカスタマイズ可能。露出度・業務影響はシステム単位で定義
- 脅威状況の変化（KEV追加等）を次回スキャンで自動再評価。LLMが脆弱性サマリを自動生成し、専門家でなくても影響を把握できる
対応判断を評価するフレームワーク「SSVC」
Stakeholder-Specific Vulnerability Categorization ── カーネギーメロン大学発の脆弱性評価フレームワーク
CVSSが「深刻度の数値」を算出するのに対し、SSVCは現場が取るべき対応そのものを4段階で導き出します。リスク判断の専門知識がなくても、対応の緊急度と指示が瞬時に定まります。FutureVulsは2022年から、SSVCベースの自動トリアージエンジンを搭載しています。
Immediate
即時対応Out-of-Cycle
計画外対応Scheduled
定期対応Defer
現時点では対応しない
SSVCの4段階分類。FutureVulsは検知した脆弱性を自動で分類し、優先度・期限・対応指示まで設定します。
緊急対応が必要な脆弱性だけを即時通知し、それ以外は日次・週次でまとめて配信。「通知が来たら必ず見る」が成立する設計で、初動から修復完了までの時間を短縮します。
- Slack／Microsoft Teams／メールと連携。即時通知の対象は最優先タスクと、悪用が確認された脆弱性に限定
- 数百〜数千台・グループ会社を横断した影響調査、対応指示、実施報告を全社横断で運用
- 手順ガイドとAnsible Playbookの自動生成、AWS SSM連携による画面からのアップデート実行
「対応する」も「対応しない」も、根拠とともに記録。監査・経営説明に耐える証跡が、日々の運用から自動で積み上がります。
- 「1サーバ × 1脆弱性 = 1チケット」の単位で、ステータス・担当者・対応期限を一元管理
- リスク受容・対応保留の判断を根拠とともに記録し、許容できる脆弱性は一括で管理
- 対応完了（脆弱性の解消）を次回スキャンで自動検知し、チケットを自動クローズ
