みなさん、こんにちは。SCSKの石井です。

2026年8月、いよいよ来月に迫った「愛知・名古屋アジア競技大会」の直前イベントや公式チケット発券のニュースで、日本中がスポーツ一色の熱気に包まれていますね！私も大好きな手羽先や味噌カツを食べる言い訳を作りつつ、どの競技を観戦しようかと毎日ワクワクしながら画面と睨めっこしています（チケット争奪戦はあえなく惨敗中ですが…笑）。

フロンティアAI時代に崩壊する「CVSS評価一辺倒」の脆弱性管理

2026年現在、生成AIテクノロジーは劇的な進化を遂げ、かつてSFの世界だった「完全自律型ハッキングAI（Claude Mythosなど）」が現実の驚異として台頭しています。このフロンティアAIを悪用する攻撃者は、人間が何年も気づかなかった未知の「ゼロデイ脆弱性」をものの数秒で見つけ出し、それを突くエクスプロイト（攻撃コード）を自動生成し、対象ネットワークに侵入して1秒の猶予も与えず感染を完了させます。

このような超高速攻撃が日常化する中、これまで多くの企業が金科玉条としてきたパッチ運用の大原則、「CVSS（共通脆弱性評価システム）スコアが高いもの（例えばスコア9.0以上のCriticalなど）から順番に当てる」という優先順位の決め方が、構造的に限界を迎えています。

なぜなら、毎年新しく報告される数万件以上もの脆弱性のうち、野生（In the Wild）において実際に攻撃コードが作製され、攻撃者やランサムウェアグループに悪用されているものは、統計的に全体のほんの数％にすぎないからです。CVSSが高くても実際には誰も攻撃していない（悪用不可能な）脆弱性に対応するために、多くの情シス担当者が残業を重ねる一方で、CVSSスコアが7.0程度（中重要度）と判定されたために後回しにされていた脆弱性が、実はAIハッカーにフル活用されて社内侵入の踏み台にされてしまうという「パッチ適用の逆転現象」が多発しています。つまり、「スコアの数字が高いから」というだけの画一的な対応は、もはや防衛の役に立たないどころか、運用の破綻を招く原因になっているのです。

金融庁が求める「リスクベースでの対応」と、真の脅威を見極める重要性

こうしたセキュリティの構造的欠陥に対し、金融庁をはじめとする国内外の規制当局やガバナンス評価機関は、より実効性の高い「リスクベース脆弱性管理
（RBVM: Risk-Based Vulnerability Management）」への移行を強く求め始めています。

リスクベースでの対応とは、単なる「CVSSスコアの数値」に依存するのをやめ、以下の3つの要素をリアルタイムに突合して対応の緊急性を判断する高度な防衛思想です。
 ・ 【脅威インテリジェンス】：その脆弱性は現在、実際に野生でエクスプロイト（悪用コード）が出回っているか？
 ・ 【ビジネスインパクト】：その脆弱性を持つシステムは、組織内においてどれほど重要か？社外インターネットに公開されているか？
 ・ 【ランサムウェア関連性】：ランサムウェアやハッカー集団が好んで利用する既知の活動手口と紐づいているか？

しかし、これを人間が手動で評価し、何千・何万台もある端末のパッチ状況と照らし合わせて毎日パッチ適用の指示書を作るなど、リソースの限られた情報システム部門にとって実現不可能なことは火を見るより明らかです。「言うは易く、行うは難し」。この難解極まりない宿題に対する唯一の現実解こそが、SaaSとしてリニューアルされ、強力なAIとデータ連携能力を手に入れた『Ivanti Neurons』なのです。

 SaaS版「Ivanti Neurons」が示すパッチ運用の近未来。UEM・ITAM・ITSM of SaaS

かつてはオンプレミスのインフラ管理ツールとして名高かったIvantiは、クラウドネイティブなハイパープラットフォーム『Ivanti Neurons』として生まれ変わり、その提供価値を劇的に引き上げました。特に、リスクベースの脆弱性管理（Neurons for Patch Management）においては、他社の追随を許さないインテリジェンスを提供しています。

Ivanti Neuronsがもたらす最大の変革は、自前の膨大な脅威インテリジェンスDBとの自動連携です。スキャンされた自社アセットのパッチ不足状況に対し、現在進行形で悪用されているか（エクスプロイト状況）や、ランサムウェアへの関与度などをAIが自動判定し、独自の緊急度評価指標である「VRR（Vulnerability Risk Rating：脆弱性リスク評価）」を各端末に算出します。これにより、管理者は「今日中に最優先で当てなければ、今夜にも侵入されるパッチ」がどれであるかを一目で把握し、ボタン一つで対象端末（VPN不要のインターネット越し端末を含む）へ自動段階展開（自動テスト＆パッチ配信）することができます。

さらに、Ivanti Neuronsはパッチを配るだけの単機能製品ではありません。以下の機能別プラットフォームが、すべて同一のSaaSコンソール上で完全に統合されている点が最大の強みです。

• Ivanti Neurons for UEM (Endpoint): PC、スマホ、サーバー（Windows, macOS, Linux）まで、社内外を問わずすべての端末をエージェントレス/エージェント併用でリアルタイムに自動検出・管理します。
• Ivanti Neurons for Patch Management: OSパッチだけでなく、Adobe, Java, Chromeなど数百種類の主要サードパーティ製アプリケーションのパッチまで、WAN回線帯域を一切圧迫しないインテリジェントな分散配信技術で、少人数かつ超高速に自動適用します。
• Ivanti Neurons for ITAM (IT Assets): ハードウェア資産だけでなく、ライセンスの利用状況や契約・購入情報までを一元化。使われていない無駄なライセンスを自動で見つけ出し、年間数百万〜数千万円規模のコスト最適化（TCO削減）を実現します。
• Ivanti Neurons for ITSM (Helpdesk): インシデント管理、問題管理、サービスカタログ、セルフサービスポータル、変更管理までを完全に自動化。パッチ適用失敗時のエラー報告やトラブルシューティングをヘルプデスク機能へシームレスに紐付け、自動ナレッジ解決へ導きます。

【徹底比較】従来のCVSS中心運用 vs Ivanti Neuronsによるリスクベース運用

では、従来のパッチ管理手法と、Ivanti Neuronsによるリスクベース運用の違いを分かりやすく比較テーブルと概念図で整理してみましょう。
どれだけ情シスの負担が軽減されるかが一目瞭然です。

評価軸	従来のCVSS中心運用（WSUSリプレイス前）	Ivanti Neuronsによるリスクベース運用
優先順位の指標	CVSSスコアの数値（一律に9.0以上のみなど画一判断）	VRR（脆弱性リスク評価）。野生での悪用情報や攻撃予測を加味したリアルタイム動的優先判定
適用対象の範囲	Windows OSが中心。サードパーティ製アプリやmacOS等は手動適用になり放置されやすい	Windows, macOS, Linuxおよび数百の主要サードパーティ製アプリパッチを一括自動管理
配信時のネットワーク負荷	パッチの一斉ダウンロードにより、VPNや細い拠点WAN回線がバースト・帯域パンクを引き起こす	動的選出された代表端末によるP2P（ピア・ダウンロード）配信。中継サーバー不要で帯域パンクを防止
運用管理の手間	情シスが毎日パッチ公開情報を調べ、端末への適用確認をExcel等で手動追跡（残業の温床）	SaaSによる完全自動の「アセット発見 → 危険度突合 → 自動テスト適用 → レポート出力」の一元化

■ 従来のCVSSスコア運用（一律パッチ適用）
 　[膨大な脆弱性の山（毎年数万件）]
 　  └──> CVSS 9.0以上を一律で全部当てる（数千個）
    　      ├──> 実際には悪用されていないパッチに膨大な作業時間が発生 ❌ (残業)
     　     └──> CVSS 7.0の「本当に悪用されているゼロデイ」が後回しになり侵入を許す ❌ (インシデント)

■ Ivanti Neuronsによるリスクベース運用（VRR）
[膨大な脆弱性の山（毎年数万件）]
   　└──> Ivanti 脅威インテリジェンスが自動リアルタイム突合！
    　      └──> 悪用コード存在 / ランサムウェア関連パッチをVRR（高リスク）と判定
        　         └──> 「今日当てるべき数十件」をピンポイント自動配信・適用 ⭕️ (爆速＆極小運用)

【図解：パッチ適用のパラダイムシフト。CVSSスコア（一律）からリスクベース（VRR）へ】

 まとめ：Ivantiは“いまの困りごと”に対して、かなり現実的な一手になりうる