SSVC（優先度）の設定と考え方#

困ったときに読む

SSVC は、脆弱性を「いつ直すか」で4段階（Immediate、Out-of-Cycle、Scheduled、Defer）に判定する考え方です。FutureVuls は、自社の環境もふまえて自動で判定します（CSIRT プラン）。

判断に使う4つの材料#

材料（設定画面の表記）	内容	誰が決めるか
攻撃状況（Exploitation）	実際に攻撃が確認されているか	FutureVuls が自動で更新します。KEV に新しく載った脆弱性は、目安1時間以内に反映されます
自動化可能性（Automatable）	自動化された攻撃にどこまで使えるか	FutureVuls が自動で更新します
ビジネスへの影響（Human Impact）	攻撃されたときに、業務にどれだけ影響するか	自社で決めます
インターネット露出度（Exposure）	そのシステムに外部から届くか	自社で決めます

よくある質問#

A. どこで設定するか

「ビジネスへの影響」と「インターネット露出度」は、グループ設定で既定値を決めます。SSVC を有効にした時点で、既定値が入っています。システムごとに値を変えたい場合は、ロールに値を設定し、そのロールを対象のサーバに割り当てます。ロールに設定した値は、グループ設定の値より優先されます。

B. 設定を変えたら、いつ反映されるか

次のスキャンのタイミングで、既存のタスクにも反映されます。すぐに反映したい場合は、グループ設定の「全サーバを手動スキャン」を実行してください（1回500台まで）。

C. 対応期限はどう決まるか

優先度に応じた期限は、オーガニゼーション設定またはグループ設定の「SSVC トリガー＆アクション」で自動で入れられます。自動設定は、スペシャル警戒タグや手で入れた期限を上書きしません。それ以外の期限は、期限が未設定のとき、新しい期限のほうが早いとき、いまの期限を過ぎているときに更新されます（SSVC の対応期限）。

つまずいたとき#

このページで解決しない場合は、お問い合わせ窓口に、いまの設定値と、期待している動きを添えてご連絡ください。