脆弱性が増え続ける時代の新たな課題
サイバー攻撃のニュースを目にしない日はないと言っても過言ではありません。ランサムウェアによる業務停止や情報漏えいだけでなく、クラウド設定の不備や認証情報の漏えいを狙った攻撃も増加しています。
こうした背景から、多くの企業で脆弱性診断や脆弱性管理ツールの導入が進んでいます。しかし最近では、「脆弱性を発見すること」よりも、「どの脆弱性を優先して対応するか」が大きな課題になっています。
その理由の一つが、生成 AI の普及です。
生成 AI により攻撃者は脆弱性情報の分析や攻撃コード作成を高速化できるようになりました。従来は高度な技術や長期間の調査が必要だった脆弱性の発見や攻撃手法の検討が、 AI によって効率化されつつあります。
一方で、防御側も AI を活用することで、脆弱性情報の収集や分析を効率化できるようになっています。
しかし重要なのは、 AI が脆弱性管理そのものを自動化してくれるわけではないという点です。
企業は依然として、
自社に影響する脆弱性なのか
実際に悪用される可能性が高いのか
事業への影響はどの程度か
を判断しなければなりません。
AI 時代だからこそ、人手による「件数ベースの管理」ではなく、リスクに基づく優先順位付けが求められています。
その結果、多くの企業が「脆弱性が存在することは分かったが、どれから対応すべきか判断できない」という課題に直面しています。
CVSS だけでは本当のリスクは見えない
実は、この変化は脆弱性情報を提供する側にも大きな影響を与えています。
脆弱性管理に携わる方であれば、「CVSS」という言葉を聞いたことがあるかもしれません。
CVSS とは脆弱性の危険度を数値化した指標で、多くの企業が「CVSS 9.0 以上は緊急対応」といったルールで運用しています。
また、その CVSS 情報を含めて脆弱性情報を提供している代表的なデータベースが、米国の NIST が運営する NVD （National Vulnerability Database）です。
これまでは、
「CVSS が高いから優先対応する」
「CVSS が低いから後回しにする」
という判断が一般的でした。
しかし近年、公開される脆弱性情報（CVE）の件数は急増しています。 NIST はこれまで、公開された脆弱性に対して CVSS スコアや影響を受ける製品情報などを付与してきましたが、増加し続ける脆弱性情報に対して、すべてをこれまでと同じ粒度で分析・評価することが難しくなっています。
そのため現在は、実際に悪用が確認されている脆弱性や、重要なソフトウェアに影響する脆弱性を優先して分析する運用へ移行しています。
これまで多くの企業では、 CVSS スコアを脆弱性の優先順位付けの基準として活用してきました。
しかし、 NVD の運用変更や脆弱性情報の増加を背景に、 CVSS スコアだけでは十分な判断が難しくなっています。
この変化が意味するのは非常にシンプルです。
「脆弱性の深刻度（CVSS スコア）だけでは、本当に危険かどうか判断できない」
ということです。
例えば、 CVSS が 9.8 という非常に高いスコアの脆弱性が 100 件検出されたとしても、そのすべてを最優先で対応すべきとは限りません。
実際には、優先して対応すべき脆弱性は数件しかないケースも珍しくありません。
重要なのは、脆弱性そのもののスコアではなく、
インターネットから到達可能か
実際に悪用が確認されているか
重要なシステムに存在するか
攻撃経路として利用できるか
といった脆弱性の背景情報（コンテキスト）です。
例えば、 CVSS が 9.8 という非常に高いスコアの脆弱性であっても、そのシステムが社内ネットワークからしかアクセスできない環境であれば、直ちに攻撃される可能性は高くないかもしれません。
一方で、 CVSS はそれほど高くなくても、インターネット上に公開されている重要なサーバーで利用されており、実際に攻撃者による悪用が確認されている脆弱性であれば、優先的に対応すべきです。
つまり重要なのは、
「脆弱性が危険か」ではなく、 「その脆弱性が自社にとってどれだけ危険か」
なのです。
リスクベースの脆弱性管理を実現するには
そして、この判断をさらに難しくしているのが企業の IT 環境の複雑化です。
現在の企業は、サーバーや PC だけを管理しているわけではありません。
外部公開サーバーや VPN 機器などのアタックサーフェイス
Web アプリケーション
AWS や Azure などのクラウド環境
Active DirectoryやEntra ID などのアイデンティティ基盤
生成 AI サービスやシャドー AI の利用状況
など、多種多様なシステムやサービスを利用しています。
そのため、脆弱性だけを見ても本当のリスクは見えてきません。
例えば、
インターネットから見える状態になっていないか
管理者権限と組み合わさった場合に被害が拡大しないか
クラウドの設定ミスと関連していないか
過剰な権限が存在していないか
生成 AI サービスやシャドー AI の利用によって新たなリスクが発生していないか
実際に攻撃者が悪用している脆弱性ではないか
といった情報を総合的に判断する必要があります。
しかし、こうした情報をそれぞれ別のツールや Excel で管理し、人の手で分析しながら優先順位を決めることには限界があります。
Tenable One は、脆弱性管理だけでなく、アタックサーフェイス管理（ASM）、クラウドセキュリティ、アイデンティティリスク管理などの情報を統合し、組織全体のリスクを一元的に可視化します。
さらに、 Tenable 独自の VPR （Vulnerability Priority Rating）により、 CVSS だけでは判断できない実際の悪用可能性や脅威動向を加味しながら、対応すべき脆弱性の優先順位付けを支援します。
AI の進化によって脆弱性が増え続けるこれからの時代は、「何件の脆弱性を発見したか」ではなく、「何を優先して対応するか」が重要になります。
脆弱性が 100 件あることは問題ではありません。
本当に危険なのは、今すぐ対応すべき1件を見逃してしまうことです。
AI によって脆弱性情報が爆発的に増加する時代だからこそ、すべてを平等に扱う管理手法から、リスクに基づいて優先順位を判断する管理手法への転換が求められています。
日々増え続ける脆弱性への対応や、クラウド・アイデンティティ・ AI 利用状況を含めた統合的なリスク管理に課題をお持ちの場合は、ぜひお気軽にご相談ください。
本コラムに関連したセミナーを開催いたします。こちらもぜひご覧ください。
2026 年 9 月 16 日（水）14：00～15：00（受付時間：13:45～）
「本当に対応すべき脆弱性とは？～ AI 時代に求められるリスク管理と Tenable One ～」
