日本セキュリティオペレーション事業者協議会（ISOG-J）は11月、「脆弱性トリアージガイドライン作成の手引き」の第2章以降を公開しました。

脆弱性診断の結果や外部からの報告などを通して、セキュリティオペレーションに何らかの問題が発覚した場合、各組織は迅速かつ正確に対応しなければなりません。そのために必要になるのがトリアージです。トリアージとは災害が発生した際に負傷者の治療や搬送に関して優先順位をつけることを指しますが、セキュリティにおいては脆弱性診断ツールなどで特定された脆弱性や問題について評価し、対応の優先順位づけすることを指します。

「脆弱性トリアージガイドライン作成の手引き」は、各組織に合ったトリアージガイドラインを策定するための案内書です。

5月に公開された第1章では、トリアージに関する基本方針を解説。優先度を洗い出すための方法や、発覚した脆弱性の危険度を評価する基準、対応期限の例などが記載されています。

11月に新たに公開されたのは、第2～5章です。第1章で紹介された判断基準などは専門知識がなくても活用できるのに対して、第2章以降には、より専門的な情報がまとまっています。

第2章では、リスク判定の精度を上げるためのフレームワークを紹介。第3章では、さらに上級者向けのフレームワークがまとまっています。第4章では、脆弱性を修正する上でかかるコストや、修正作業の内容について解説。また、第5章では、実際に起きた脆弱性対応の事例がシチュエーション別に3つ掲載されています。

この手引きの中では他にも、コラムや、トリアージガイドラインのテンプレートも盛り込まれています。