TL;DR
- 1年目が最初につまずくのは知識不足ではなく、「脆弱性情報 → 自社への影響」への変換の手順を持っていないこと
- 影響判定は「使っているか（資産）→ 届くか（経路）→ 今やるか（緊急度）」の3ステップで機械的に詰められる
- 分からない項目は「分からない」と書いてよい。何が分かれば判定できるかまで書けば、それは立派な回答になる
対象読者
- セキュリティコンサルタント1年目〜2年目
- 注意喚起や脆弱性情報を渡されて「で、うちは影響ある？」と聞かれ、答えに詰まった経験がある方
- 情報を読むところまではできるが、顧客の環境に当てはめる段で止まる方
つまずきの場面: CVSS は読めたのに、次の一言が出ない
1年目の私がいちばん固まったのは、脆弱性情報そのものではなかった。
顧客の情シス担当者に注意喚起のURLを共有したあと、こう返ってきたときだ。
「で、うちは影響ありますか？」
情報は読めている。CVSSスコアも、影響を受けるバージョンも説明できる。それなのに答えられない。「確認して折り返します」と言って持ち帰り、社内で先輩に同じ質問をして、先輩が3分で答えるのを横で見ることになる。
差は知識量ではなかった。先輩は判定の手順を持っていて、1年目の私は持っていなかった。手順がないから、どこから確認すればよいのかが分からず、確認すべきことの全体像も見えない。
| 1年目（手順なし） | 手順を持っている状態 | |
|---|---|---|
| 最初にすること | 情報を全部読み直す | 使っている資産があるか確認する |
| 分からないとき | 答えを保留にする | 「何が分かれば判定できるか」を返す |
| 顧客への返し方 | 「確認して折り返します」 | 「3点確認させてください」 |
| 持ち帰る時間 | 半日〜数日 | その場〜当日中 |
影響判定の3ステップ
どんな脆弱性情報でも、判定の骨格は同じだ。上から順に詰める。
ステップ1: 使っているか（資産の当たり）
確認すること:
- 影響を受ける製品・バージョンを、顧客が持っているか
- 持っているなら、どの部署・どのシステムで使っているか
- 台数・利用者数はどれくらいか
確認先:
- 資産管理台帳（あれば最優先。なければ「無い」ことが最初の指摘事項）
- 直近の構成図、ライセンス購買履歴、運用委託先への問い合わせ
ここで「該当なし」が確定すれば、判定はその場で終わる。1年目が飛ばしがちなのは、実はこの終わらせ方だ。影響がないことをその日のうちに返せるのは、立派な仕事になる。
ステップ2: 届くか（経路の当たり）
資産があっても、攻撃が届かなければ緊急度は下がる。
確認すること:
- インターネットから直接触れるか（公開サーバ / VPN / 社内限定）
- 攻撃に前提条件があるか（認証済みユーザが必要 / 特定機能が有効な場合のみ）
- 代替の緩和策が既に効いているか（WAF、アクセス制限、当該機能の未使用）
「該当製品はあるが、社内セグメント限定で、当該機能は使っていない」——ここまで言えれば、顧客は落ち着いて次の判断に移れる。
ステップ3: 今やるか（緊急度）
確認すること:
- 悪用が既に観測されているか（注意喚起の本文に必ず書いてある）
- 修正版・回避策が提供されているか
- 顧客側の適用可能日はいつか（業務影響・変更管理の締切）
出す答え:
- 今日やる : 公開資産 + 悪用観測あり
- 今月やる : 資産あり・経路は限定的・修正版あり
- 定例で扱う : 該当なし or 影響が限定的。次回定例で棚卸しに含める
3ステップを通すと、答えは「影響あり／なし」の二択ではなく、**「どの資産に、どの経路で、いつまでに」**という形になる。顧客が動けるのはこちらの形だ。
Before / After: 同じ情報からの返し方
Before（1年目の私の返答）
CVSS 9.8 の重大な脆弱性です。至急パッチ適用をご検討ください。
顧客は動けない。何に、誰が、いつまでに適用するのかが無いからだ。「至急」と言われても、変更管理の申請すら書けない。
After（3ステップを通したあと）
【資産】対象製品は2系統で確認しました。
- 拠点間VPN装置 2台（インターネット公開）
- 検証環境のサーバ 1台（社内セグメント限定）
【経路】公開されているのはVPN装置のみ。検証環境は外部から到達できません。
なお本件は認証前に悪用可能と公表されています。
【緊急度】悪用の観測が公表されているため、VPN装置は今日中の対応を推奨します。
1. 本日中: VPN装置2台に修正版を適用（保守ベンダへ連絡済み・作業枠は21時以降）
2. 今週中: 適用前のアクセスログを確認し、不審な認証成功がないか点検
3. 次回定例: 検証環境の棚卸し（資産管理台帳に未記載だったため）
【未確定】拠点Cの装置は台帳に記載がなく、現地確認が必要です。
明日午前に担当者へ確認し、結果を追ってご連絡します。
注目してほしいのは最後の【未確定】だ。分からないことを空欄にせず、「何を、いつ確認するか」まで書く。1年目が「全部分かってから返そう」として持ち帰るより、この形のほうが顧客には早く届く。
判定が止まったときのチェックリスト
手が止まったら、詰まっている場所は次の4つのどれかであることが多い。
- 資産が分からない → 台帳がない。それ自体を指摘事項として書く（次の提案の根拠になる）
- 経路が分からない → 構成図の最新版を依頼する。依頼したこと自体を記録に残す
- 緊急度が決められない → 悪用観測の有無だけ確認する。ここは注意喚起の本文に必ず書いてある
- 誰が決めるか分からない → 判断者を確認する。技術判定と業務判断は別の人の仕事
1年目が今日からできる3つのこと
- 注意喚起を1本選び、3ステップの空欄を埋めてみる — 顧客環境が分からなくても、「何を確認すれば埋まるか」を書けば練習になる
- 「確認して折り返します」を「3点確認させてください」に置き換える — 確認項目を口に出せると、その場で会話が前に進む
- 判定を1行で記録に残す — 「該当なし（当該機能を未使用のため）」の1行が、半年後の棚卸しで効いてくる
まとめ
「うちは影響ある？」に答えられないのは、知識が足りないからではない。判定を詰める順番を持っていないからだ。
使っているか（資産）→ 届くか（経路）→ 今やるか（緊急度）。この3ステップは、どの製品のどの脆弱性が来ても同じ形で使える。順番を先に持っておけば、知識はその上に積み上がる。
そして、分からない項目を「分からない」と正直に書けることは、1年目の弱点ではなく強みになる。何が分かれば判定できるかを示せる人は、顧客から見て一緒に進められる相手だからだ。
関連記事
📌 判定の型と記入例をまとめた実務テンプレートは note メンバーシップ で配布しています（初月無料）。
💼 若手に「順序」を渡す社内教育の設計については 法人向けのご案内 をご覧ください。
タグ: #Security #セキュリティ #初心者 #キャリア #脆弱性管理