脅威/脆弱性情報と資産情報との連携による情報共有基盤の実証について

2022年3月4日
寺田 真敏(ICT-ISAC情報共有WG主査／株式会社日立製作所)

Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

脅威/脆弱性情報と資産情報との連携
きっかけ⚫

脆弱性を取り巻く環境の変化
脆弱性対策には、システム、資産、データ、機能に対するサイバーセキュリティリス
クの管理(リソース把握・管理)が必要であることが再認識された。
⚫

振り返り 2014年
4月 OpenSSLの情報漏えいを許してしまう脆弱性 ～Heartbleed問題
Apache Strutsの任意のコード実行を許してしまう脆弱性
9月 GNU bashの脆弱性 ～shellshock問題～
10月 SSL通信の暗号文の解読を許してしまう脆弱性 ～POODLE問題～⚫

振り返り 2017年
3月 Apache Struts 2の任意のコード実行を許してしまう脆弱性
5月 ランサムウェアWanna Cryptorの流布
2017年3月にセキュリティ更新プログラムがリリースされた「MS17-010：
Windows SMBv1の任意のコード実行を許してしまう脆弱性」を悪用
2
Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

脅威/脆弱性情報と資産情報との連携
課題解決のためのアプローチ⚫

⚫

資産情報と脆弱性対策情報との連携⚫ 短期的：製品識別子CPEを用いた脆弱性対策情報データベースJVN
iPediaとSAMACソフトウェア辞書との連携⚫ 長期的：ISO/IEC 19770-2 ソフトウェア識別子(SWID)を用いた資産管理と脆弱性対策との連携
資産管理と脆弱性管理との連携拡大 (SBOMに近い概念を提案)⚫ カスタムアプリケーションと、カスタムアプリケーションで使用している外部コン
ポーネントや前提プログラムとを把握し管理3
Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

脅威/脆弱性情報と資産情報との連携
ソフトウェアサプライチェーンにおける変化と課題
ソフトウェア開発の水平分業化への変化
垂直統合型

供給部品のソフトウェア
仕様決定者の変化
調達者仕様決定型

企業グループ仕様決定

製品・サービスをユーザが組合せて利用する形態への変化
従来型

調達者

利用者

供給者

1次提供者

調達者

利用者

調達者
供給者

企業グループ
調達者

仕様決定

供給者
供給者
供給者

水平分業型
[出典]

供給者

供給者仕様決定型

ソフトウェアサプライチェーンにおける変化と課題(2014)
https://www.ipa.go.jp/files/000040879.pdf

1次提供者

…

1次提供者

ユーザ組合せ(サービス連携)型
4
Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

脅威/脆弱性情報と資産情報との連携
ソフトウェアサプライチェーンにおける変化と課題
ソフトウェア開発の水平分業化への変化

供給部品のソフトウェア
仕様決定者の変化

製品・サービスをユーザが組合せて利用する形態への変化⚫ トレーサビリティ確保が重要であるが、サプライチェーンが複雑になり、部品供給元トレースが困難になる。
⚫ 情報漏えい、不正プログラムの埋込みの危険性が増大する。

⚫ 調達者からの仕様決定や不具合修正の優先付け等の制御が利かなくなる。
⚫ 通信におけるセキュリティ問題
発生リスクが増大する。

⚫ 利用時の品質を出荷時にすべて想定し、検査することが困難になる。
⚫ 製品・サービスを提供する複数
企業の責任所在が曖昧になる。
⚫ 利用者が連携時のリスクを十分に理解できていない。
利用者

調達者

企業グループ
調達者

仕様決定

供給者
供給者
供給者

水平分業型
[出典]

供給者

供給者仕様決定型

ソフトウェアサプライチェーンにおける変化と課題(2014)
https://www.ipa.go.jp/files/000040879.pdf

1次提供者

…

1次提供者

ユーザ組合せ(サービス連携)型
5
Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

脅威/脆弱性情報と資産情報との連携
ソフトウェアサプライチェーンにおける変化と課題⚫

[出典]

製品・サービスをユーザが組合せて利用する形態への変化における課題と対応
課題

対応

利用時の品質を出荷時にすべて想定し、検査することが困難になる。

ユーザは利用時の品質を把握できない。
➢ 対応できていることと、できていないことを明確化するという点で設計品質の見える化が必要

製品・サービスを提供する複数の企業の責任の所在が曖昧になる。

少なくとも責任範囲の明確化が必要である。
➢ 責任を持てる範囲と、持てない範囲を明確化するという点で設計品質の見える化が必
要

利用者が連携時のリスクを十分に理解できていない。

ユーザは利用時の品質を把握できない。
➢ 接続可否や警告を通知するという点で設計品質の見える化が必要

ソフトウェアサプライチェーンにおける変化と課題(2014)
https://www.ipa.go.jp/files/000040879.pdf

6Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

脅威/脆弱性情報と資産情報との連携
品質の見える化⚫

SBOM(Software Bill of Materials、ソフトウエア部品表)
⚫

⚫
⚫

⚫

米国商務省電気通信情報局(National Telecommunications andInformation Administration)が主体となって推進中で、2018年7月に、初回打合せが開催された。
ソフトウェアを構成するコンポーネントの透明性(Software Component
Transparency)をあげることを目的とする。
よく使用されている例: 食品の成分表のようなもの

BOM(Bill of Materials)
製造業では、製品を製造する際に必要な部品や原材料などの構成情報を部品管理している。部品構成管理はBOM管理と呼ばれたり、プロセス製造業ではレ
シピ管理と呼ばれたりしている。

7
Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

脅威/脆弱性情報と資産情報との連携
品質の見える化⚫

加工食品の表示の具体例⚫ 表示の方式等

表示は、容器包装を開かないでも容易に見ることができるように当該容器包装の見やすい箇所に表示します。など

⚫

[出典]

原材料名及び添加物
使用した原材料は、添加物以外の原材料と添加物を明確に区分し、それぞれに占める重量の割合の多いものから順に記載します。など

食品表示法による表示について(新法に基づく表記)
https://www.city.niigata.lg.jp/smph/iryo/shoku/shokueigyo/hyoji/shyouzihou20200330.html

8
Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

脅威/脆弱性情報と資産情報との連携
品質の見える化⚫

ソフトウェアにおける具体例⚫ ソフトウェア部品表(SBOM：Software Bill of Materials)

ソフトウェアを構成するコンポーネントを明示することで、ソフトウェアの透明性(Software Component Transparency)を確保できる。

⇒品質の見える化の一手段として有用
名称

MyJVN API

ソフトウェア部品表(使用している
外部コンポーネントや前提プログラム)

⚫
⚫
⚫
⚫
⚫
⚫

⚫
⚫
⚫
開発業者

オラクル JRE
OpenSSL Project OpenSSL
OpenBSD OpenSSH
NTP Project NTPApache Software Foundation APR-util(Apache Portable Runtime Utility library)pcre.org PCRE
(Perl Compatible Regular Expression library)
Apache Software Foundation Apache HTTP Server
Apache Software Foundation Apache Tomcat
MySQL AB MySQLIPAシステムインテグレーション開発

9
Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

脅威/脆弱性情報と資産情報との連携
品質の見える化⚫

サイバーセキュリティに関する米国大統領令(2021年5月12日)⚫ 脅威情報を共有する際の障壁を取り除くこと⚫ 連邦政府におけるサイバーセキュリティの近代化⚫ ソフトウェアサプライチェーンのセキュリティの強化⚫ 製品が安全に、意図したとおりに機能することを保証すること⚫ サイバー安全審査委員会の設立⚫ 連邦政府ネットワークにおけるサイバーセキュリティの脆弱性とインシデントの検出の改善⚫ 連邦政府の調査および修復能力の改善⚫ 国家安全保障システム[出典]Executive Order on Improving the Nation's Cybersecurity
https://www.whitehouse.gov/briefing-room/presidential-actions/2021/05/12/executive-order-on-improving-the-nations-cybersecurity/

10

Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

脅威/脆弱性情報と資産情報との連携
品質の見える化⚫

サイバーセキュリティに関する米国大統領令(2021年5月12日)⚫ ソフトウェアサプライチェーンのセキュリティの強化⚫ 製品が安全に、意図したとおりに機能することを保証すること

ソフトウェアサプライチェーンのセキュリティを強化するガイダンスの発行⚫ 安全なソフトウェア開発環境の確保⚫ 購入者からの要求に従い安全なソフトウェア開発環境を提示する方法⚫ 自動化されたツールあるいは同等の方法によりサプライチェーンにおけるコードの整合性の確保⚫ 自動化されたツールあるいは同等の方法により既知あるいは、潜在的な脆弱性の検査⚫ 購入者からの要求に従いコードの整合性や脆弱性に関する情報を提示する方法⚫ ソフトウェアコードまたはコンポーネントの出所管理⚫ 購入者へのソフトウェア部品表(SBOM)の提供(直接提供、公開Webサイトに公開)⚫ 報告ならびに開示プロセスを含む脆弱性開示プログラムへの参加⚫ 安全なソフトウェア開発を実践していることの証明⚫ 可能な範囲で、製品で使用しているオープンソースソフトウェアの完全性と出所の保証と証明[出典]

Executive Order on Improving the Nation's Cybersecurity
https://www.whitehouse.gov/briefing-room/presidential-actions/2021/05/12/executive-order-on-improving-the-nations-cybersecurity/

11

Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

脅威/脆弱性情報と資産情報との連携
ICT-ISAC Japan での取組み⚫

1st step (2016～2018) 多層防御としての情報活用⚫ 脅威情報⚫ 脅威情報(IPアドレス、ドメイン、URL、ハッシュ値)を交換するための場として、
STIX v1/TAXII v1環境であるtaxii.ict-isac.jpをSoltraを使用して構築し、試行運用した。
⚫ 総務省「サイバー攻撃への集団防御に向けた情報共有基盤に関する実証事業」との連携⚫

2nd step (2019～) 多層防御としての情報活用⚫ (脅威情報＋脆弱性情報)*資産管理連携⚫ 脅威情報(IPアドレス、ドメイン、URL、ハッシュ値)と脆弱性情報とを関連付けて活用する、資産管理と連携するための場として、STIX v1+v2/TAXII
v1環境であるtaxii.ict-isac.jpをOpenTAXIIを使用して構築し、試行運
用中⚫ 総務省「ソフトウェア脆弱性を狙ったサイバー攻撃の防御に向けた情報共有基盤に関する実証実験」との連携
12
Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

脅威/脆弱性情報と資産情報との連携
品質の見える化との連携[出典]

総務省サイバーセキュリティ
https://www.soumu.go.jp/main_content/000711459.pdf

13
Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

脅威/脆弱性情報と資産情報との連携
品質の見える化との連携[出典]

サイバー・フィジカル・セキュリティ確保に向けたソフトウェア管理手法等検討タスクフォース
https://www.meti.go.jp/shingikai/mono_info_service/sangyo_cyber/wg_seido/wg_bunyaodan/software/index.html

14

Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

情報共有基盤の実証【 課題1 】 脆弱性情報の件数は増加傾向⚫

米国脆弱性対策データベース(NVD: National Vulnerability Database)に登録されている件数は?
⚫ 脆弱性を分担協力して登録する組織(脆弱性登録組織)の増加と共に増加している。

CVE登録件数
25,000

CNA組織数CVE登録件数

250

CNA(CVE Numbering Authority、CVE採番機関)組織数
20,0002005年
脆弱性対策データベース NVD開始▼

15,0001999年
脆弱性対策データベース NVD原型構築▼

10,000
5,000

200
150
100
50

←脆弱性情報を流通する仕組みは、→非営利組織主導により運用されていた。

0

1988
1989
1990
1991
1992
1993
1994
1995
1996
1997
1998
1999
2000
2001
2002
2003
2004
2005
2006
2007
2008
2009
2010
2011
2012
2013
2014
2015
2016
2017
2018
2019
2020
2021
2022

0

15
Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

情報共有基盤の実証【 課題2 】 インストール状況と脆弱性との紐付けは人手で実施⚫

重要なセキュリティ情報が発信されるたびに、手作業でIT資産一覧表を検索して、影響範囲の調査をしていませんか?
⚫ 多くの場合、インストール状況と脆弱性との紐付けを人手で実施している(資産管理と脆弱性対策とが連携できているわけではない)。
重要なセキュリティ情報
ソフト
ウェア
x
ソフト
ウェア
y

IT資産一覧表

16
Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

情報共有基盤の実証【 課題3 】 カスタムアプリ管理は整備途上⚫

重要なセキュリティ情報が発信されたときに、カスタムアプリ(SIで開発した業務ア
プリケーションなど)の影響範囲を調査していますか?
⚫ 多くの場合、カスタムアプリ(SIで開発したアプリケーションなど)は、資産管理や脆弱性管理の対象に含まれていない。
重要なセキュリティ情報

カスタムアプリEx. 在庫管理アプリ?
17
Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

情報共有基盤の実証【 課題4 】脅威情報と脆弱性情報の連携⚫

①脅威などの攻撃元情報だけではなく、脆弱性などの攻撃先情報を活用すると共に、②これら情報を資産や部品成分表(SBOM)と紐付けて活用する。
攻撃者

攻撃元情報
攻撃先情報
検知

脆弱性
情報

脅威
情報

脅威情報(攻撃元情報)
脆弱性情報(攻撃先情報)

脆弱性
情報

脅威
情報

18
Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

情報共有基盤の実証
多層防御としての(情報活用＋対策)と想定する将来像
製品
辞書

JVN iPedia

脆弱性
対策
データベース

脅威情報(攻撃元情報)
脆弱性情報(攻撃先情報)

MyJVN
脆弱性

資産と紐付けられる
脅威情報/脆弱性情報の配信
資産管理ツール

部品成分表と紐付けられる脅威情報/脆弱性情報の配信
資産管理ツール

taxii.ict-isac.jp(STIX/TAXIIベース)

脅威
脆弱性

NISC、IPA、JPCERT/CC
他ISACなど

ICT-ISAC

脅威情報/脆弱性情報の統合配信

資産管理ツール

部品
成分表
辞書

自身で資産管理している組織
資産管理ソリューション提供サービス事業者

19

Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

情報共有基盤の実証①脅威/脆弱性情報の統合配信 【課題1】【課題4】
脅威などの攻撃元情報と脆弱性などの攻撃先情報が、個別に情報展開⚫ 一つの情報展開ストリームに攻撃元/攻撃先情報を重畳させることで、ここにアクセスさえすればという情報共有基盤を作ることができる。

⚫

現状

実証実験

⚫ 脅威情報と脆弱性情報を異なるフォーマット、いろいろなサイトから受信している。

⚫ 脅威情報と脆弱性情報を同じフォーマット、ひとつのサイトから受信できる。

MyJVN

VULDEF形式

脆弱性

MyJVN
脆弱性

脅威情報/脆弱性情報の統合配信(STIX/CSAF形式)

taxii.ict-isac.jp(STIX/TAXIIベース)
脅威

NISC、IPA、JPCERT/CC
他ISACなど

STIX形式taxii.ict-isac.jp(STIX/TAXIIベース)
脅威

NISC、IPA、JPCERT/CC
他ISACなど

20
Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

情報共有基盤の実証①脅威/脆弱性情報の統合配信 【課題1】【課題4】{"type": "bundle","id": "bundle--63c46abd-9f5a-472a-8b10-c51208c10000","objects": [{"type": "jvn-jp-sdo","spec_version": "2.1","id": "jvn-jp-sdo--ac97aae4-83f1-46ca-a351-7aeb76678189","created": "2021-11-15T09:16:08.989000Z","modified": "2021-11-15T09:16:08.989000Z","name": "JVN CSAF embedded in STIX","extensions": {"extension-definition--b2440624-45a6-11ec-81d3-0242ac130003":{"extension_type": "new-sdo"}},"document": {"lang": "ja","title": "[example] Information Disclosure Vulnerability in Sample Inc.
Security Information DBX V3.2","category": "Security Advisory“

STIX 2.1(2021.6)
標準仕様
脅威情報の記載

STIX 2.1(2021.6)
STIX Extension Definition
脆弱性情報の記載

CSAF(Common Security Advisory Framework)形式の記述
}
}

]
}

21
Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

情報共有基盤の実証②資産と紐付けられる脅威/脆弱性情報の配信 【課題2】【課題4】
攻撃元/攻撃先情報のいずれも、組織の資産との紐づけを想定していない。
➢ 資産管理ツールと連携させることで、攻撃元/攻撃先情報の選別だけではな
く、影響有無などの対策につなげることができる。

⚫

現状

実証実験

⚫ インストール状況と脆弱性との紐付けを人手で実施している。

⚫ 製品辞書(製品識別子とインストール名との対応表)を試行し、インストール状況を把握できる情報と脆弱性情報とを紐付ける。

B

A
APP
y

B

APP
x
脆弱性
A

脆弱性
B

脆弱性
C

A
APP
y

APP
x

製品辞
書
製品X
製品Ｙ

脆弱性
A

脆弱性
B

脆弱性
C

紐付け情報
22
Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

情報共有基盤の実証②資産と紐付けられる脅威/脆弱性情報の配信 【課題2】【課題4】⚫

製品識別子とインストール名との対応リファレンス表となる製品辞書を試行する。
製品辞書

インストール名一覧
Ex. SAMAC
ソフトウエア辞書

ソフトウエアの脆弱性情報
データベース
Ex. MyJVN

SAMACソフトウエア辞書の既存登録項目(9項目)
sw_id
sw_vendor sw_name・・・・・・
Adobe Acrobat 8.2.0 Professional
・・・・・・
Adobe Acrobat 8.2.0 Standard
・・・・・・
Adobe Acrobat 8.2.1 - CPSID_50570
・・・
・・・
Adobe Acrobat 8.2.1 Professional
・・・・・・
Adobe Acrobat 8.2.1 Standard
・・・・・・
Adobe Acrobat 9.3.0 - CPSID_52073

その他項目
・・・
・・・
・・・
・・・
・・・
・・・

連携用項目(1項目)
CPE
cpe:/a:adobe:acrobat
cpe:/a:adobe:acrobat
cpe:/a:adobe:acrobat
cpe:/a:adobe:acrobat
cpe:/a:adobe:acrobat
cpe:/a:adobe:acrobat

製品識別子CPEを用いた製品の紐付け
ソフトウエア名

CPE

Adobe Acrobat

cpe:/a:adobe:acrobat

製品Ｙ

cpe:/a:y:yyy

JVN製品データベース

脆弱性
A

データベース
登録時に紐付け済み

脆弱性
B
脆弱性
C

23
Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

情報共有基盤の実証②資産と紐付けられる脅威/脆弱性情報の配信 【課題2】【課題4】⚫

Common Platform Enumeration(共通プラットフォーム一覧)⚫ 情報システムを構成するハードウェア、ソフトウエアの名称を、プログラムで(機械)処理しやすい形式で記述するための仕様

IPAが提供するマイ・ジェイ・ブイ・エヌ

cpe:/a:ipa:myjvn
cpe:/{種別}:{ベンダ}:{製品}:{バージョン}:{アップデート}:{エディション}:{言語}
種別：h=ハードウェア、o=OS、a=アプリケーション

情報処理推進機構が提供するマイ・ジェイ・ブイ・エヌ
24
Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

情報共有基盤の実証③部品成分表と紐付けられる脅威/脆弱性情報の配信 【課題3】【課題4】⚫

カスタムアプリの扱いや部品成分表(SBOM)との紐づけを想定していない。
➢ カスタムアプリの部品成分表(SBOM)を管理することで、攻撃元/攻撃先情報の適用可能性を広げることができる。

現状

実証実験

⚫ カスタムアプリ(SIで開発したアプリケーションなど)
は、資産管理や脆弱性管理の対象に含まれていないことが多い。

⚫ カスタムアプリの部品成分表辞書(カスタムアプリ
で使用しているアプリケーション一覧)を試行し、アプリケーション一覧と脆弱性情報とを紐付ける。

Ex.在庫管理アプリ

Ex.在庫管理アプリ
Struts
脆弱性
A

部品
成分表
辞書

脆弱性
B

脆弱性
C

OpenSSL

在庫管理アプリ＋Struts+OpenSSL

脆弱性
A

脆弱性
B

脆弱性
C

25
Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

情報共有基盤の実証③部品成分表と紐付けられる脅威/脆弱性情報の配信 【課題3】【課題4】⚫

SBOM(Software Bill of Materials、ソフトウエア部品表)⚫ ソフトウェアを構成するコンポーネントを明示することで、ソフトウェアの透明性(Software Component Transparency)を確保できる。

カスタムアプリ開発業者

発注者

カスタムアプリ(SIで開発したアプリケーションなど)のソフトウェア部品表(カスタムアプリの使用コンポーネント一覧)があれば、脆弱性対策情報と紐付けることができる。
Ex.在庫管理アプリ
Struts

在庫管理アプリ
在庫管理アプリのソフトウェア部品表

部品
成分表
辞書

OpenSSL

在庫管理アプリ＋Struts+OpenSSL

脆弱性
A

脆弱性
B

脆弱性
C

26
Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

情報共有基盤の実証
実現のカギは製品識別⚫

実現のための最初の一歩は、製品識別子CPE付与未済への対応≒国内で利用されている
ソフトウェアや装置の一覧
製品識別子CPE
付与未済
製品リスト＝インストールされている製品

製品識別子CPE
付与済

製品リスト=脆弱性が報告された製品のみ

脆弱性対策データベース(Ex. JVN/JVN iPedia)

ソフトウェア辞書(Ex. SAMAC)

27

Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

情報共有基盤の実証
実現のカギは製品識別⚫

課題解決のアプローチ⚫ IT資産管理規格 ISO/IEC 19770-2 ソフトウェア識別子(SWID)活用⚫ SWIDを用いて、国内で利用されているソフトウェアや装置に、 CPEとの互換性を持つjvnpidをオーソリティとした構造化識別子を適用する。
jvnpid:識別子バージョン:製品ベンダ名:製品名:バージョン

jvnpid:1.0:sample.or.jp:spreadsheetx

製品識別子CPE
付与未済

Sample社
spreadsheetx
製品リスト

製品辞書
＝国内で利用されている製品

cpe:/a:ipa:myjvn

製品識別子CPE
付与済
jvnpid:1.0:ipa:myjvn

脆弱性対策データベース(Ex. JVN/JVN iPedia)＝インストールされている製品

製品リスト=脆弱性が報告された製品のみ

ソフトウェア辞書(Ex. SAMAC)

28

Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

情報共有基盤の実証
今後の活動
製品
辞書

JVN iPedia

脆弱性
対策
データベース

脅威情報(攻撃元情報)
脆弱性情報(攻撃先情報)

MyJVN
脆弱性

資産と紐付けられる
脅威情報/脆弱性情報の配信
資産管理ツール

脅威/脆弱性情報とソフトウェア資産情報との紐づけにより、影響のある脅威や脆弱性の早期判断を実現する情報共有基盤の実証実験で得られた成果を、MyJVN(脆弱性対策情報共有フ
レームワーク)などに提案していく。
taxii.ict-isac.jp(STIX/TAXIIベース)

脅威
脆弱性

NISC、IPA、JPCERT/CC
他ISACなど

ICT-ISAC

脅威情報/脆弱性情報の統合配信

資産管理ツール

部品成分表と紐付けられる脅威情報/脆弱性情報の配信
資産管理ツール

部品
成分表
辞書

自身で資産管理している組織
資産管理ソリューション提供サービス事業者

29

Copyright©2022 ICT-ISAC Japan. All Rights Reserved.

Collaborate
togetherto make ourInternetsecure.
Copyright©2022 ICT-ISAC Japan. All Rights Reserved.