ミツエーリンクスが「脆弱性対応フロー構築・運用」サービス開始、脆弱性の確認から対応まで整える

電通総研グループでコミュニケーション・デザイン事業のミツエーリンクスは、「脆弱性対応フロー構築・運用」サービスの提供を始めたと11月13日に発表した。脆弱性情報の収集から影響確認、優先度判断、関係者への連絡、対応方針の決定までを整理する。情報を入手した後の初動の迅速化や、自社環境に即した判断基準、役割と連絡経路を明確化し、継続的な情報収集で見逃しを抑制する。

初動を円滑に進める手順を平時に設計する。最初に確認する事項、共有する情報、担当者、承認者を明確にする。脆弱性の深刻度、対象システムの重要度、外部公開の有無、利用状況、取り扱う情報の種類や重要性、事業への影響を踏まえた判断基準から、Web運用担当、情報システム部門、セキュリティ部門、事業部門、委託先の役割まで整理する。緊急時でも事前に定めた連絡経路で連携する体制を整える。

定期的な脆弱性情報の収集を運用に組み込み、担当者の偶然の気づきに依存しない状態を目指す。WebサイトやWebシステムを安全に運用するにはインシデント発生対応だけでなく、脆弱性の公表段階から自社影響を確認し、対応の優先度を判断できる体制が必要。ただ確認方法や判断基準、関係者への連絡方法が決まってなければ迅速な対応ができないため、同社はその体制づくりと継続的な運用を支援する。