AI編#06｜AI時代の脆弱性管理とは——経営者が備える「3日で直す」パッチ対応と侵害確認

AI時代、脆弱性管理の時間軸は大きく変わりました。 かつては、月に一度パッチを当てる運用でも許されていました。 しかし今は、脆弱性が公表された直後から、AIを使って攻撃コードが自動生成され、数日以内に実際の侵入へつながる時代です。 本エピソードでは、AI時代の脆弱性管理とは何か、経営者がなぜ「3日で直す」体制を考えなければならないのかを解説します。 取り上げる主なテーマ - AIが脆弱性攻撃を高速化する理由 - パッチ差分解析と攻撃コード生成 - CISA BOD 22-01 - NIST AI Risk Management Framework - CVSSだけに頼る危険性 - KEVカタログ - EPSSによる悪用確率評価 - 「3日で直す」パッチ対応 - VPN・リモート接続機器のリスク - 侵害確認とフォレンジック・トリアージ - パッチ適用後も侵入済みの可能性 - 経営判断としてのシステム停止 - 権限移譲と例外承認 - AIによる防御支援 - 防衛用AIそのもののリスク 脆弱性管理とは、穴を見つけて順番に直す作業ではありません。 今問われているのは、 どの脆弱性が今まさに狙われているのか。 どのシステムを3日以内に止めてでも直すのか。 すでに侵入されていないかをどう確認するのか。 誰がその判断に責任を持つのか。 AI時代の脆弱性管理は、IT部門だけの仕事ではありません。 それは、会社がどれだけ速く「止める、塞ぐ、切り離す、調べる」判断を出せるかという、経営の反応速度のテストです。 パッチ対応を「作業」ではなく、事業継続と危機管理の問題として考えます。