PSIRTとは？製品の脆弱性を発見から修正・公開まで管理する仕組み

「修正コードを書く」だけでは終わらない

例えば、ある会社が販売しているネットワークカメラに、認証を回避できる欠陥が報告されたとします。エンジニアが原因を突き止めても、利用者に適切な更新方法を届けられなければ危険は残り続けます。

報告者、開発、品質保証、法務、広報、カスタマーサポート、販売パートナーの間をつなぎ、対応の抜けや矛盾を防ぐ司令塔がPSIRTです。必ずしもすべての調査や修正をPSIRT自身が実装するわけではありません。

PSIRT・CSIRT・SOCは何が違う？

境界は企業規模や運用モデルによって重なります。例えば、自社SaaSに攻撃が発生した場合はPSIRTとCSIRTが共同で対応し、SOCが検知情報を提供することがあります。SOCが必ず24時間稼働しているとも限りません。

脆弱性対応の6ステップ

重要なのは「発見した → 修正した」の二段階で終わらせないこと。利用者が対策できる状態になるまで、継続した管理が必要です。

公開を急ぐか、修正を待つか

外部の研究者が脆弱性を見つけた場合、ベンダーと報告者が調整しながら修正と情報公開を進める考え方を協調的な脆弱性開示（CVD: Coordinated Vulnerability Disclosure）と呼びます。

そのため、受付への応答、報告者との連絡、暫定対策の案内、修正版の準備、公開タイミングを状況に応じて調整します。すでに悪用が進んでいる場合は、修正版が完成する前でも危険性や回避策を案内する判断が必要です。

優先度はCVSSの点数だけで決めない

CVSSは脆弱性の技術的な深刻度を表現する指標ですが、実際の対応優先度は利用環境で変わります。例えば同じ脆弱性でも、インターネットに公開された機器と、外部から遮断された検証機では緊急度が異なります。

また、製品に組み込んだOSSライブラリの依存関係を把握するにはSBOM（ソフトウェア部品表）が役立ちます。ただしSBOMの存在だけで影響が判定できるわけではなく、その部品の利用箇所や実行条件を確認する必要があります。

操作ラボ：脆弱性対応をトリアージする

報告の種類と状況を切り替え、担当するチーム、考慮すべきリスク、次のアクションを比較できます。表示される優先度は説明のための簡略モデルです。

実際に立ち上げるなら何を用意する？