脆弱性管理を無料SaaSだけで回した結果、月1500件のアラートが4件に絞れた話

一人情シスが資産台帳を開いたら82台だった。でもネットワークに実際に繋がっていたのは121台。差の39台は退職者の私物PC、持ち込まれた端末、何か得体の知れない機器。その外部資産に何がインストールされているか分からない状態を放置できない。だが脆弱性診断ツールは企業向けハイエンド製品で、予算も使い方も現実的ではない。無料ツールだけで何ができるか、という問いの立て方が重要だ。

Nessus Essentialsは16IP単位でしかスキャンできないので、100台超をカバーするには1ヶ月かかる。JVN iPediaの脆弱性フィードは毎日1500件流れてくるが、自社で実際に使っているソフトだけでフィルタをかけると、対応が必要なのはわずか4件。この「絞り込み」の鮮烈さは、なぜ大企業の脆弱性管理が上手くいかないかを逆説的に教えてくれる。予算を使って統合ツールを導入しても、「どの情報が自分たちに関係あるか」という本質的問題は解けない。むしろ制約がある方が、本当に必要な情報を見極める思考回路が鍛えられるという皮肉がある。

実装の失敗例も生々しい。Win32_Productでソフト一覧を取ったら、対象PCがMS Officeを修復モードで勝手に起動させ、営業から「急に重くなった」という問い合わせが来た。こういう「知識がないと踏む地雷」をスクリプトレベルで記録しておくことが、実務的な資産になるのだ。予算がなくても試行錯誤の痕跡が、次の担当者の教科書になる。