同じ週に、3つの脆弱性の修正が公開された。運用の担当者は、1日に1つずつしか修正を適用できない。最初に修正を適用すべきものと、その理由の組み合わせとして、最も適切なものはどれか。

正解：C. インターネットに公開したVPN装置の脆弱性(CVSSの基本値8.1、実際の悪用が確認済み)。外部から届き、すでに攻撃に使われているから

CVSSの基本値は脆弱性そのものの深刻さを表す値で、自組織の環境で攻撃がどれだけ起きやすいかまでは表しません。インターネットから直接届く機器で、実際の攻撃で悪用されていることが確認された脆弱性は、すぐに狙われる可能性が高いので、基本値が8.1と9.8より低くても優先します。悪用の状況は、米国のCISAが2021年11月から公開している、悪用が確認された脆弱性のカタログ(KEV: Known Exploited Vulnerabilities)や、開発元やJPCERT/CCの注意喚起などで確かめられます。社内だけで使うサーバの脆弱性も深刻なので、VPN装置の次に対応し、その間は通信の制限などで危険を下げます。

• A. 基本値は高いものの、外部から直接届かず悪用の報告もないので、外部に公開されて悪用されているものの後にできます。
• B. 台数は多くても深刻さは中程度で、最初に対応すべきものではありません。
• C. 正しい。外部から届くことと、実際に悪用されていることを合わせて、最も危険が大きいと判断します。