AI編#06｜AI時代の脆弱性管理とは——経営者が備える「3日で直す」パッチ対応と侵害確認

AI時代、脆弱性管理の時間軸は大きく変わりました。

かつては、月に一度パッチを当てる運用でも許されていました。

しかし今は、脆弱性が公表された直後から、AIを使って攻撃コードが自動生成され、数日以内に実際の侵入へつながる時代です。

本エピソードでは、AI時代の脆弱性管理とは何か、経営者がなぜ「3日で直す」体制を考えなければならないのかを解説します。

取り上げる主なテーマ

- AIが脆弱性攻撃を高速化する理由

- パッチ差分解析と攻撃コード生成

- CISA BOD 22-01

- NIST AI Risk Management Framework

- CVSSだけに頼る危険性

- KEVカタログ

- EPSSによる悪用確率評価

- 「3日で直す」パッチ対応

- VPN・リモート接続機器のリスク

- 侵害確認とフォレンジック・トリアージ

- パッチ適用後も侵入済みの可能性

- 経営判断としてのシステム停止

- 権限移譲と例外承認

- AIによる防御支援

- 防衛用AIそのもののリスク

脆弱性管理とは、穴を見つけて順番に直す作業ではありません。

今問われているのは、

どの脆弱性が今まさに狙われているのか。

どのシステムを3日以内に止めてでも直すのか。

すでに侵入されていないかをどう確認するのか。

誰がその判断に責任を持つのか。

AI時代の脆弱性管理は、IT部門だけの仕事ではありません。

それは、会社がどれだけ速く「止める、塞ぐ、切り離す、調べる」判断を出せるかという、経営の反応速度のテストです。

パッチ対応を「作業」ではなく、事業継続と危機管理の問題として考えます。