TL;DR

1年目が最初につまずくのは知識不足ではなく、「脆弱性情報 → 自社への影響」への変換の手順を持っていないこと
影響判定は「使っているか（資産）→ 届くか（経路）→ 今やるか（緊急度）」の3ステップで機械的に詰められる
分からない項目は「分からない」と書いてよい。何が分かれば判定できるかまで書けば、それは立派な回答になる

対象読者

セキュリティコンサルタント1年目〜2年目
注意喚起や脆弱性情報を渡されて「で、うちは影響ある？」と聞かれ、答えに詰まった経験がある方
情報を読むところまではできるが、顧客の環境に当てはめる段で止まる方

つまずきの場面: CVSS は読めたのに、次の一言が出ない

1年目の私がいちばん固まったのは、脆弱性情報そのものではなかった。

顧客の情シス担当者に注意喚起のURLを共有したあと、こう返ってきたときだ。

「で、うちは影響ありますか？」

情報は読めている。CVSSスコアも、影響を受けるバージョンも説明できる。それなのに答えられない。「確認して折り返します」と言って持ち帰り、社内で先輩に同じ質問をして、先輩が3分で答えるのを横で見ることになる。

差は知識量ではなかった。先輩は判定の手順を持っていて、1年目の私は持っていなかった。手順がないから、どこから確認すればよいのかが分からず、確認すべきことの全体像も見えない。

	1年目（手順なし）	手順を持っている状態
最初にすること	情報を全部読み直す	使っている資産があるか確認する
分からないとき	答えを保留にする	「何が分かれば判定できるか」を返す
顧客への返し方	「確認して折り返します」	「3点確認させてください」
持ち帰る時間	半日〜数日	その場〜当日中

影響判定の3ステップ

どんな脆弱性情報でも、判定の骨格は同じだ。上から順に詰める。

ステップ1: 使っているか（資産の当たり）

確認すること:
- 影響を受ける製品・バージョンを、顧客が持っているか
- 持っているなら、どの部署・どのシステムで使っているか
- 台数・利用者数はどれくらいか

確認先:
- 資産管理台帳（あれば最優先。なければ「無い」ことが最初の指摘事項）
- 直近の構成図、ライセンス購買履歴、運用委託先への問い合わせ

ここで「該当なし」が確定すれば、判定はその場で終わる。1年目が飛ばしがちなのは、実はこの終わらせ方だ。影響がないことをその日のうちに返せるのは、立派な仕事になる。

ステップ2: 届くか（経路の当たり）

資産があっても、攻撃が届かなければ緊急度は下がる。

確認すること:
- インターネットから直接触れるか（公開サーバ / VPN / 社内限定）
- 攻撃に前提条件があるか（認証済みユーザが必要 / 特定機能が有効な場合のみ）
- 代替の緩和策が既に効いているか（WAF、アクセス制限、当該機能の未使用）

「該当製品はあるが、社内セグメント限定で、当該機能は使っていない」——ここまで言えれば、顧客は落ち着いて次の判断に移れる。

ステップ3: 今やるか（緊急度）

確認すること:
- 悪用が既に観測されているか（注意喚起の本文に必ず書いてある）
- 修正版・回避策が提供されているか
- 顧客側の適用可能日はいつか（業務影響・変更管理の締切）

出す答え:
- 今日やる    : 公開資産 + 悪用観測あり
- 今月やる    : 資産あり・経路は限定的・修正版あり
- 定例で扱う  : 該当なし or 影響が限定的。次回定例で棚卸しに含める

3ステップを通すと、答えは「影響あり／なし」の二択ではなく、**「どの資産に、どの経路で、いつまでに」**という形になる。顧客が動けるのはこちらの形だ。

Before / After: 同じ情報からの返し方

Before（1年目の私の返答）

CVSS 9.8 の重大な脆弱性です。至急パッチ適用をご検討ください。

顧客は動けない。何に、誰が、いつまでに適用するのかが無いからだ。「至急」と言われても、変更管理の申請すら書けない。

After（3ステップを通したあと）

【資産】対象製品は2系統で確認しました。
  - 拠点間VPN装置 2台（インターネット公開）
  - 検証環境のサーバ 1台（社内セグメント限定）

【経路】公開されているのはVPN装置のみ。検証環境は外部から到達できません。
        なお本件は認証前に悪用可能と公表されています。

【緊急度】悪用の観測が公表されているため、VPN装置は今日中の対応を推奨します。
  1. 本日中: VPN装置2台に修正版を適用（保守ベンダへ連絡済み・作業枠は21時以降）
  2. 今週中: 適用前のアクセスログを確認し、不審な認証成功がないか点検
  3. 次回定例: 検証環境の棚卸し（資産管理台帳に未記載だったため）

【未確定】拠点Cの装置は台帳に記載がなく、現地確認が必要です。
          明日午前に担当者へ確認し、結果を追ってご連絡します。

注目してほしいのは最後の【未確定】だ。分からないことを空欄にせず、「何を、いつ確認するか」まで書く。1年目が「全部分かってから返そう」として持ち帰るより、この形のほうが顧客には早く届く。

判定が止まったときのチェックリスト

手が止まったら、詰まっている場所は次の4つのどれかであることが多い。

資産が分からない → 台帳がない。それ自体を指摘事項として書く（次の提案の根拠になる）
経路が分からない → 構成図の最新版を依頼する。依頼したこと自体を記録に残す
緊急度が決められない → 悪用観測の有無だけ確認する。ここは注意喚起の本文に必ず書いてある
誰が決めるか分からない → 判断者を確認する。技術判定と業務判断は別の人の仕事

1年目が今日からできる3つのこと

注意喚起を1本選び、3ステップの空欄を埋めてみる — 顧客環境が分からなくても、「何を確認すれば埋まるか」を書けば練習になる
「確認して折り返します」を「3点確認させてください」に置き換える — 確認項目を口に出せると、その場で会話が前に進む
判定を1行で記録に残す — 「該当なし（当該機能を未使用のため）」の1行が、半年後の棚卸しで効いてくる

まとめ

「うちは影響ある？」に答えられないのは、知識が足りないからではない。判定を詰める順番を持っていないからだ。

使っているか（資産）→ 届くか（経路）→ 今やるか（緊急度）。この3ステップは、どの製品のどの脆弱性が来ても同じ形で使える。順番を先に持っておけば、知識はその上に積み上がる。

そして、分からない項目を「分からない」と正直に書けることは、1年目の弱点ではなく強みになる。何が分かれば判定できるかを示せる人は、顧客から見て一緒に進められる相手だからだ。

関連記事

セキュリティコンサルタント1年目が最初に身につけるべき「情報の読み解き方」
JPCERT/CC Weekly Reportを「読み解く」ための3軸分析フレームワーク

📌 判定の型と記入例をまとめた実務テンプレートは note メンバーシップで配布しています（初月無料）。

💼 若手に「順序」を渡す社内教育の設計については法人向けのご案内をご覧ください。

タグ: #Security #セキュリティ #初心者 #キャリア #脆弱性管理