脆弱性スキャンレポートの例：経営層と IT チームが確認すべき項目

経営層が把握すべきなのは、どのサービスが公開され、どの問題が運用へ影響し、どの程度のリソースと期間が必要かです。高リスク項目は、影響する Web、VPN、Firewall、NAS、サーバーと、サービス停止、情報漏えい、未認可アクセスの可能性に結び付けます。

有効な概要では高リスクと低優先度項目を分け、修正予定、保守時間の必要性、代替コントロールの状況を明記します。

技術者には、影響資産、IP または URL、サービスとポート、識別したバージョンや設定、リスク根拠、修正方針、検証方法が必要です。資産やサービスの文脈がない CVE 番号だけでは、運用作業を予定できません。

CVE の緊急度は、インターネット到達性、悪用条件、重要システムへの影響、互換性や HA 設計への影響も合わせて判断します。

「修正済み」は変更記録であり、リスクの結論ではありません。更新、ポート閉鎖、ポリシー変更後には、公開面が残っていないか、バージョンが有効か、同じ問題が他資産にないかを確認します。

再テストでは、解消、一部解消、継続、保守待ち、リスク受容を明確にし、監査と後続作業で同じ基準を使用できるようにします。

Server Plus は認可済み・非破壊的な脆弱性確認を実施します。リスク概要、影響資産、優先度、修正方針、再テスト提案を中心に整理し、通常の運用に組み込める形で交付します。

Web 公開、FortiGate 交換、VPN 変更、NAS リモートアクセス、整備済み機器導入では、公開前スキャンと修正後再テストを受入条件に含めることを推奨します。