Leaders編集部)リストNTTデータ先端技術は2019年1月25日、ソフトウェアの脆弱性やセキュリティ事案に関する情報をユーザー企業に提供する「セキュリティ情報配信サービス」を強化すると発表した。Score」を実装した。脆弱性の重要度や緊急度を共有しやすくなった。同年1月28日から提供する。価格(税別)は、月額7万円。販売目標は2020年度までに500社を掲げている。NTTデータ先端技術のセキュリティ情報配信サービスは、OSやソフトウェアに関するセキュリティ脆弱性の情報を、不正アクセスの統計や解説も含めて配信するサービスである。脆弱性を悪用された際におよぶリスク(深刻度)を把握できる。ユーザー専用のWebポータル画面およびメールを介して提供する(画面1)。ユーザー企業のCSIRT活動の1つである「セキュリティ関連情報収集」を支援するものとなる。Scoreを実装した(図1)。これにより、自社システムの脆弱性がどの程度か、どの程度緊急で対応するべきかを、情報システム部門やセキュリティ専門家、エンドユーザーまで、万人が共通認識として共有できるようになった。Score」を実装した(出典:NTTデータ先端技術)拡大画像表示サイバー攻撃から自社システムを守るためには、脆弱性の深刻度や緊急性について、関係者同士が共通の認識を持っている必要がある。これに対して従来は、脆弱性の深刻度を各ベンダーが独自で算出し、担当者によって深刻度の認識にばらつきが生じていた。Scoreを追加した。Teams(FIRST)が管理しているシステム脆弱性深刻度の指標である。Scoreを参照できるようになることで、ベンダーや担当者個々人の知識・経験に依存することなく、脆弱性の深刻度を確認できる。Scoreでは、システムに求められる3つのセキュリティ特性、すなわち(1)機密性(正当なユーザーだけがアクセスできる)、(2)完全性(情報が正確である)、(3)可用性(必要なときに利用可能な状態になっている)に対する影響を、ネットワークから攻撃可能かどうかといった基準で評価・算出する。算出する影響度を各項目0~10の値で表示する。数値が大きくなるごとに深刻度が増す。v3では、攻撃の実行に必要なアクセス権限レベルやユーザー関与レベルなどの評価項目を追加しており、システム単位だけでなくコンポーネントまで細分化して評価できる。ユーザーの関与レベルでは、「攻撃対象のユーザーが何もしなくても攻撃可能か、あるいは特定のURLのクリックなど、何かしらの行動が必要か」といったことを評価する(図2)。Scoreの値とひも付く、脆弱性が持つ固有のID「CVE識別番号」を合わせて提供する。CVE識別番号は、米国政府の支援を受けた非営利団体のMITREが採番している識別子である。CVE認識番号から、脆弱性の概要や、製品開発ベンダーサイトなど、脆弱性に関連する情報のURLなどを参照できる。CVSSの値とCVE識別番号を併せて確認できることから、迅速かつ適切にパッチ適用の判断を下せるようになるとしている。実証実験でRPAの大幅な業務削減効果を確認。Libraryもご利用いただけます。実証実験でRPAの大幅な業務削減効果を確認。ご所属のお客様でも、ご所属企業(または団体)におけるIT化を推進されるお立場の方にもお読みいただけます。配信サービスを強化、重要度や緊急度を共有しやすくNTTデータ先端技術は2019年1月25日、ソフトウェアの脆弱性やセキュリティ事案に関する情報をユーザー企業に提供する「セキュリティ情報配信サービス」を強化すると発表した。Score」を実装した。脆弱性の重要度や緊急度を共有しやすくなった。同年1月28日から提供する。価格(税別)は、月額7万円。販売目標は2020年度までに500社を掲げている。