脆弱性管理台帳

公表された脆弱性を「当てたか」で管理する台帳は多いのですが、実務で本当に困るのは当てられないもののほうで、そこが記録に残りません。監査で聞かれるのも「当てたか」ではなく「なぜ当てていないか」です。★核は3つ。（1）優先度を CVSS だけで決めない … 到達性（インターネットから触れるか）を列にして、数式で優先度を出します。CVSS 9.8 でも到達経路が無ければ後回しでよく、CVSS 7 でも公開サーバーなら先に当てます。この2軸が無い台帳は、数字の大きい順に並べたところで手が止まります。（2）「適用しない」と決めたものを別シートにする … 恒久的に残るので、月次の一覧に混ぜると流れて誰も見なくなります。★再評価日を必須にして、永久に放置できないようにしてあります。（3）緩和策が何に依存しているかを書かせる … 「FWで塞いでいるから当てない」は、そのFWルールが消えた瞬間に破綻します。依存先を通信要件一覧のルールIDで書けば、棚卸しでそのルールを消すときにこの台帳から戻ってこられます。記入例では、緩和が期限切れのFWルールに依存している状態をわざと置いてあります。情報源のシートもあり、機器一覧のメーカー分だけ行を作る形にしています（1つのまとめサイトを見ていれば足りる、ということはありません）。

★到達性を必ず埋めてください。空欄だと優先度の数式が出ず、橙のまま止まります（評価していないことが見えるように、あえてそうしてあります）。★「適用しない（恒久）」にした行は薄い紫になります。次のシートへ移して、承認者・承認日・再評価日を入れてください。再評価日が空欄だと赤くなります——永久に当てない、という判断は無いからです。撤去予定日・保守契約の期限・予算の判断時期など、外側の予定に合わせてください。★緩和の依存先は、通信要件一覧のルールID（FW-xxx）や監視項目一覧の項目ID（MON-xxx）で書いてください。文章で書くと、そのルールを消すときに気づけません。★残日数・経過日数は表紙の「棚卸し基準日」を基準に出ます。空欄にすると今日を基準にします。棚卸しの日を入れておけば、後から同じ日で数え直せます。★情報源は機器一覧を開いて、メーカーの数だけ行を作ってください。「メール配信を購読」は担当者個人のメールにせず、共有メールボックスかチャンネルで受けてください（異動で止まります）。識別子・CVSS・公表日は情報源の値をそのまま書き、丸めないでください。記入例の識別子・CVSS・公表日はすべて架空で、実在の脆弱性ではありません。