脆弱性を見つける

脆弱性スキャン、ソースコードを調べる静的解析（SAST）、動かして調べる動的解析（DAST）、脅威の情報（脅威フィード、OSINT）、侵入テスト、外部の人に報告してもらうバグバウンティで見つけます。

CVE と CVSS で優先順位を付ける

CVE は脆弱性に付く番号、CVSS は深刻度を 0〜10 で表す点数です。7.0〜8.9 は高、9.0 以上は緊急です。点数に加えて、自社でその機器がインターネットに出ているか、大事なデータを持つかで順番を決めます。

対応と確認

パッチを当てる、分離する、補完の管理策を入れる、例外として承認するなどで対応し、もう一度スキャンして直ったかを確かめます。本当は問題がないのに出る誤検知（false positive）と、本当は問題があるのに出ない見逃し（false negative）にも気をつけます。

ログを集めて見張る

ログを1か所に集め、SIEM で突き合わせて異常を見つけ、アラートを出します。アラートの数や強さを調整して、本当に大事なものを見落とさないようにします。

メールとデータを守る仕組み

メールの送り主を確かめる SPF・DKIM・DMARC、情報の持ち出しを止める DLP、端末を見張る EDR、それを広げた XDR、ふだんと違う動きを見つける UEBA が出ます。

• 脆弱性の見つけ方（スキャン・SAST・DAST・侵入テスト・バグバウンティ）
• CVE と CVSS と、自社の事情を合わせた優先順位
• 誤検知と見逃し、再スキャンでの確認
• SIEM による監視と、SPF・DKIM・DMARC・DLP・EDR