SOMPO CYBER SECURITY
悪用が確認されている脆弱性（Known Eploited Vulnerability、略称：KEV）は、米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）が運用する脆弱性カタログです。
日本語では「悪用された脆弱性」、「既知の悪用された脆弱性」、「悪用済み脆弱性」とも表記されます。
KEVは、これまでにAPTやサイバー攻撃者が実際に悪用していることが確認された既知の脆弱性をリスト化し、随時アップデートしています。
このカタログへの基本的な登録基準は、CVEが付与されていること、悪用が確認されていること、明確な対応策が存在することです。
連邦政府が発簡した「Binding Operational Directive（BOD）22-01」（拘束力のある運用指示）に基づき、すべての連邦政府文民機関（FCEB）は、KEVカタログの各脆弱性に記載された期限までに、当該脆弱性に対処することが義務付けられています。
またCISAは、拘束力はないものの、すべての機関、自治政府、自治体、民間企業がこのリストに記載された脆弱性に対処することを推奨しています。
悪用が確認されている脆弱性は、2022年11月時点で857件に達しています。
この膨大な件数すべてを同時に管理することは困難であるため、CISAはステークホルダーに特化した脆弱性管理モデルであるSSVCとの併用が望ましいとしています。
昨今、世間を揺るがしている大規模なサイバーインシデントについて、前編・後編の2回にわたりお届けしています。 サイバーセキュリティの最前線で、20年以上の実務経験をもち、現在はSOMPO CYBER SECURITYでコンサルタントを務める私、山田 淳二が「相次ぐサイバー攻撃と大規模情報漏えい、関係機関も注意喚起 ～ 組織が今、確認すべきセキュリティ対策 ～」と題し、本テーマを独自の視点で紐解きます...
昨今、世間を揺るがしている大規模なサイバーインシデントについて、前編・後編の2回にわたりお届けします。 サイバーセキュリティの最前線で、20年以上の実務経験をもち、現在はSOMPO CYBER SECURITYでコンサルタントを務める私、山田 淳二が「相次ぐサイバー攻撃と大規模情報漏えい、関係機関も注意喚起 ～ 組織が今、確認すべきセキュリティ対策 ～」と題し、本テーマを独自の視点で紐解きます。 ...
目次 はじめに 各セキュリティ診断サービスの対象範囲 実施するタイミング 診断の規模 優先度が高い対象 実施にかかる期間 はじめに ここ10年ほどで、企業のWEBサーバやWEBアプリケーションなどの脆弱性を狙ったサイバー攻撃が急増し、ここ数年は高止まり状態になっています。サイバー攻撃を自分事ととらえ、日ごろから対策をしっかりとっておくことが求められています。 本コラムでは、デジタル庁が策定した政府...
「一度やれば終わり」という考え方が通用しない、変化し続けるサプライチェーンリスク管理の課題と最新の対策について、「サイバーリスク管理の要『サプライチェーンセキュリティリスク管理』の今」と題した連載でお届けしています。 連載の第3弾となる今回は、明日から始める効果的なリスク管理の導入・運用の５ステップと題し、サプライチェーンセキュリティリスク管理の具体的な進め方について、説明していきます。 大規模サ...