なぜリーダーが仕組みを作るのか
脆弱性と攻撃の違い、composer audit などの道具、1 つの部品の上げ方は、新人向けの Stack Map「セキュリティ」と「アップデートの進め方」にあります。ここでは、知らせを受け取り、優先を決め、直したことを確かめて残す仕組みを、リーダーの目で見ます。部品と版の台帳はバージョンアップの計画、攻撃を受けたときの動き方は障害の指揮へ。
脆弱性の情報をどこで知るか
情報源は 1 つでは足りません。押すと、だれが出し、何が分かり、どんな番号が付くかが出ます。台帳の列に何を写すかは考え方のヒントです。
CVE と CVSS（版と、点数の読み方）
CVE は脆弱性に付く世界で共通の番号、CVSS は深刻さを 0.0〜10.0 で表す点数です。点数の版と、何を使って出した点数かを読み分けます。下の計算機で、使う側の環境を入れると点数がどう変わるかを試せます。
計算してみる: CVSS v3.1 の基本値・現状値・環境値
基本評価基準（知らせに書いてある）
現状評価基準（時間で変わる）
環境評価基準（使う側が入れる）
悪用されているか（KEV と EPSS）
点数が高くても悪用されていないものがあり、点数が中くらいでも実際の攻撃に使われているものがあります。悪用の有無は、点数とは別の列で持ちます。
使っている部品の一覧（SBOM）と照らす
知らせが届いたら、まず「うちで使っているか」「当たる版か」「本番に入っているか」を、部品の一覧と照らして確かめます。一覧の持ち方はバージョンアップの計画「データの形」にあります。
直す期限を決める・直せないときの回避策
期限は、点数だけでなく、外から届くか・悪用されているかで決めます。米国の CISA が連邦の行政機関に出した命令（BOD 26-04）は、4 つの問いで期限を決めます。日本の会社に義務はありませんが、決め方の見本になります。問いに答えると、期限と表の行が出ます。
16 通りの表を見る（BOD 26-04 の表 1）
練習: どれを先に直すか 考え方のヒント
あおば商事（作り物）の 4 つのシステムの部品の台帳と、届いた 7 件の知らせ（作り物）です。「台帳と照らす」を押して当たるかを確かめ、上の CISA の決め方で期限を選んでください。CISA の決め方を、あおば商事の決まりとして借りた当てはめです。
あおば商事の部品の台帳（作り物）
届け出の窓口と、指摘を受ける窓口
ほかの会社の製品やサイトで見つけたときは、経済産業省の告示に基づく「情報セキュリティ早期警戒パートナーシップ」で届け出ます。受付は IPA、調整は JPCERT/CC です。場面を押すと流れが出ます。
データの形（脆弱性の台帳） 考え方のヒント
知らせ・照らした結果・決めたこと・確かめたことを、1 件 1 行にまとめます。表と列は一例です。あとで「なぜ直さなかったのか」「本当に直したのか」と聞かれたときに、この台帳で答えます。
台帳の列
あおば商事の台帳（作り物）
練習: 対応の記録を書く
落とし穴
脆弱性への対応で、よくはまる所です。
AI 時代の脆弱性への対応
AI は、知らせの要約や照らし合わせの下作業を速くします。一方で、攻撃する側も AI で速くなっています。どれを先に直すか、受け入れるかを決めるのは人です。
チェックリスト
自分のチームの脆弱性への対応を確かめたら、チェックを付けてください（この端末にだけ残ります）。考え方のヒント