ただし、SBOMを用いた脆弱性管理には弱点もある。SBOM自体を作成するのが難しいことはその1つだ。自社製品が使っているコンポーネントやライブラリ、OSSなどをすべて洗い出し、リストアップする作業に多くの手間と時間がかかる。リストが不完全では、網羅的な脆弱性管理を実行することはできないだろう。
また、仮にSBOMは作成できても、それを使いこなすには工夫がいる。「実際の運用ではSBOMと最新の脆弱性データベースを照合し、該当するコンポーネントなどを可視化して対処します。ところが、照合結果は膨大に出るため、対処の優先順位付けに迷うことが多くあります。重要なリスクを見落としてしまうことも少なくありません」と大峠氏は言う。
そこで同社が、このような課題を解消するソリューションとして提供するのが、「Cloudbase」だ。「特定」「優先順位付け」「情報共有」「対応」という脆弱性管理の4ステップをトータルにカバーするSBOM脆弱性管理ソリューションである（図2）。
「パブリッククラウドやオンプレミス上に存在するシステムのOS、ミドルウエア、開発パッケージなどを網羅的にスキャンして、自動的にSBOMを生成します。エージェントレス型のため導入工数も抑えられます。課題となるSBOM作成の手間を大きく削減することが可能です」と大峠氏は説明する。
また、Cloudbaseが力を入れているのが優先順位付けだ。CVE（共通脆弱性識別子）やCVSS（共通脆弱性評価システム）といった一般的な情報に加えて、「実際に悪用されたことがあるか」「その資産の重要度は」「資産がインターネットに露出しているか」といった情報も集めて複合的に対応優先度を評価する。
「この手法はSSVC（Stakeholder-Specific Vulnerability Categorization）と呼ばれ、近年、新たな脆弱性の評価手法として注目されています。Cloudbaseは、このSSVCによる評価も完全に自動で行うことが可能です」と大峠氏は続ける。
これにより、対応すべき脆弱性を迅速・高精度に絞り込むことが可能になる。同社が行った実証では、総数50万件の脆弱性に対し、「即時対応すべき」ものを0.01％の55件まで絞り込むことができたという。
加えて、検出したリスクへの対応方針の共有、作業実施者への連絡・指示などもCloudbase上で一元的に行える。一部の脆弱性については、リスク修復の方法や手順を詳しく紹介してくれる機能も搭載しているという。
SBOMの作成から活用、迅速・的確なリスク対応まで、脆弱性管理の一連のプロセスをサポートするCloudbaseは、脆弱性管理に悩む企業にとって大きな助けになるものといえそうだ。
