課題：

CVSS（共通脆弱性評価システム）は脆弱性の「深刻度」を示す指標としては有用ですが、「リスク」を正確に示す指標としては不十分です。例えば、外部公開されていても業務に影響の少ないシステム上の CVSS 9.8（Critical）の脆弱性よりも、インターネットに面した重要システムで、実際に悪用が確認され、かつ自社業界で悪用されている CVSS 6.5（Medium）の脆弱性の方が、はるかに大きなリスクとなる場合があります。
しかし、SOC や脆弱性管理チームは 膨大な数の脆弱性を前に取捨選択ができず、どれを最優先で対応すべきか判断できない状況に陥りがちです。根本的な問題は、脆弱性の「深刻度」だけでは、実際の悪用された場合の「危険度」を判断できないことにあります。

DeCYFIR のアプローチ：

当社はインテリジェンスを武器化します。DeCYFIRプラットフォームは、貴社資産上で見つかった脆弱性をリアルタイムな脅威インテリジェンスと相関分析します。分析の対象は以下です：

• アクティブな悪用：PoC コードが利用可能か？実際の攻撃で使用されているか？
• 敵対者の意図：お客様業界を標的にする脅威アクターがこの CVE を議論・武器化しているか？
• キャンペーンとの関連性：この脆弱性はより大規模で継続中のキャンペーンで利用されているか？
• 出力は動的なリスクベースの優先順位リストです。『すべてのクリティカルをパッチせよ』ではなく、『既知の APT グループが貴社のような企業に対して使用しているため、この特定のサーバー上のこの特定の脆弱性を 48 時間以内にパッチすべき』というアクショナブルなインテリジェンスを提供します。

ビジネスに対する価値：

• 高リスク脆弱性に対する平均修正時間（MTTP）の大幅な短縮
• 限られた人員リソースを、実際のリスクの 98% を占めるわずか 2% の脆弱性に集中
• 優先度の見極めが明確になり、チームの生産性が飛躍的に向上
• 組織としての露出期間（Window of Exposure）を最小化

結果として、脆弱性管理は単なる数値ベースではなく攻撃者の行動を踏まえた、実運用に直結するリスク管理プロセスへと進化します。