運用のリズムを決める#

全員が読む

毎日の3つのステップに加えて、毎週と3か月ごとに見直すことを決めておきます。期限切れのタスクや古くなった設定を見つけやすくなり、運用が続きます。誰が、いつ、どの画面で何を見るかを決めて、社内で共有してください。

運用カレンダー#

まずは次の表のとおりに始め、自社の体制に合わせて担当者を書き換えてください。

いつ	誰が	どの画面で	何をする
毎日	管理者	脆弱性タブの「重要な未対応」	対応する脆弱性を決め、担当者と期限を入れる（STEP1、STEP2）
毎日	技術担当	タスクタブの「マイタスク」	割り当てられたタスクに対応し、結果をステータスで記録する（STEP3）
毎週	管理者	タスクタブの「期限切れ」	期限を過ぎたタスクの理由を担当者に確かめ、対応を急ぐか期限を見直す
毎週	管理者	タスクタブ（SSVC の判定と初回検知日時で絞り込む）	「Immediate」のタスクが溜まっていないかを確かめる
毎週	技術担当	サーバ一覧の「構成同期日時」	赤字のサーバがないかを確かめ、スキャナが止まっていないかを見る
3か月ごと	管理者	タスクタブの「保留中」	「今は対応しない（DEFER）」にしたタスクを見直す
3か月ごと	管理者	自動非表示設定と、非表示にしたタスク	非表示にした条件が、今も妥当かを確かめる
3か月ごと	管理者	グループ設定の「重要な未対応」の条件	件数が毎日見きれる量かを確かめ、条件を見直す
3か月ごと	管理者	グループ設定のメンバと SSVC の設定	異動やシステムの変更に合わせて、メンバ、担当者、判断材料を見直す

タスクタブの「期限切れ」には、対応済になっておらず、対応期限を過ぎたタスクが並びます。担当者に理由を確かめ、急いで対応するか、事情があれば期限を見直します。期限を過ぎたタスクは、毎日届く Daily Report のメールにも載ります（タスク、通知機能）。

90日の目安は、「Immediate」と判定された脆弱性を、1か月を超えて溜めずに対応できている状態です（立ち上がりの目安）。次の手順で確かめます。

タスクタブの「未対応」を、フィルタで SSVC Priority が immediate のものに絞り込んだ画面

残っていれば、担当者と期限が入っているか、対応が止まっている理由は何かを確かめます。

スキャナが止まって構成情報が送られてこなくなっても（cron の停止、サーバの停止など）、お知らせは届きません。「スキャン時のエラー」のお知らせは、スキャンを実行してエラーになったときだけ届きます。そのため、毎週サーバ一覧で確かめます。

「サーバ・製品」タブのサーバ一覧で、「構成同期日時」の列を見ます。スキャナで登録したサーバが対象です。最初の状態では、この列は表示されていません。一覧の上の「列一覧」で「構成同期日時」にチェックを入れると表示されます。
24時間以上同期がないサーバは、構成同期日時が赤字で表示されます。サーバ詳細にも「Out of sync」の警告が出ます。
赤字のサーバがあれば、そのサーバでスキャナが動いているか、サーバが止まっていないかを確かめます。

サーバ一覧の「列一覧」で「構成同期日時」にチェックを入れるところ

サーバが多い場合は、API でサーバ一覧を定期的に取得し、最終同期日時（lastSyncedAt）を見て、止まっているサーバを見つける方法もあります（FutureVuls API）。グループ単位のサーバ一覧は GET /v1/servers で取得できます。

タスクタブの「保留中」を開き、DEFER にしたタスクを見直します。SSVC の判定が上がったもの、次の定例メンテナンスで対応できるものは、ステータスを戻して担当者と期限を入れます。

自動非表示設定の条件と、手で非表示にしたタスクを見直します。管理対象外だったサーバが対象に入るなど、状況が変わっていないかを確かめます（タスク非表示設定）。

「重要な未対応」の件数が、毎日見きれる量（目安：1人あたり10〜20件）になっているかを確かめます。多すぎれば条件を絞り、少なすぎて不安なら広げます（設定③ 優先度づけのルールを決める）。

異動や退職、システムの追加や廃止があれば、グループのメンバ、サーバごとの担当者、SSVC の判断材料（Exposure と Human Impact）を見直します（設定① アカウントの構造をつくる、設定④ 担当・期限・通知を決める）。

それでも解決しない場合は、お問い合わせ窓口からご連絡ください。

運用のリズムが決まったら、準備が整ったかを運用開始チェックリストで確かめます。