脆弱性管理士｜SecuriST®
脆弱性管理士は、脆弱性のリスクや自組織への影響を見極め、対応の優先順位を適切に判断する力を養う講座です。
CTEMの考え方をベースに、脆弱性を「見つける」だけで終わらせず、継続的な管理と対応につなげるための判断基準・運用設計を体系的に学びます。
脆弱性管理士は、脆弱性のリスクや自組織への影響を見極め、対応の優先順位を適切に判断する力を養う講座です。
CTEMの考え方をベースに、脆弱性を「見つける」だけで終わらせず、継続的な管理と対応につなげるための判断基準・運用設計を体系的に学びます。
もはや人力では読みきれない量の脆弱性
公表される脆弱性（CVE）は年間48,185件、1日約130件。2年で67%増加しており、「人手で全件を精査する」という前提はすでに崩れています。
量が増えた
- CVE発行数は2025年に48,185件。1日あたり約130件が公表される
- 採番組織CNAが500超に分散し、クラウドやAIも採番対象になった
情報が揃わない
- 公式データベースNVDのエンリッチが滞り、CVSSやCPEが付かないCVEが状態化
- 「番号は来たが、判断材料がない」期間が構造的に生まれる
悪用が先に来る
- パッチ公開より先に悪用が観測される事例が増えている
- 「出てから計画して週末に当てる」リズムでは間に合わない
変わったのは「中身」ではなく「速度」
14歳の中学生が生成AIで不正プログラムを自作し、大手動画配信サービスへの不正アクセスで約4.6万アカウントが被害を受けた事例が実際に起きています。専門知識がなくても攻撃が成立する時代です
その一方で、資産把握・優先度づけ・パッチという対策の骨格は、英国AISIも「基本対策は今も効く」と評価しています。変わったのは、公表から数時間で判断が求められる速度感。量と速度に負けない「判断できる人」が必要です。
CVSSが高い順に対応し、実際に狙われている脆弱性を後回しにしてしまう。「うちの会社は該当するか」の調査に数日かかり、その間に侵入される。パッチが出ない資産の対策を決められず、判断が宙に浮く——。こうした課題に悩む組織は少なくありません。
- 脆弱性が公表されたら、CVSSスコアが高い順に対応している
- 「自社に影響があるか」の調査に時間がかかる
- パッチ(修正版)がない場合の判断基準がなく対応ができない
- 経営層へ優先順位を説明できない
- 経営層へ自社のリスクベースで対応優先度を説明できない
- 担当者によって判断が変わる
脆弱性管理士は、急増する脆弱性の中から「どれから対応すべきか」を根拠つきで判断できる実務力を、1日で身につけるITエンジニア向け講座です。
よくある詰まり方
- CVSSが高い順に対応し、実際に狙われる脆弱性を後回しにしてしまう
- 「うちは該当するか」の調査に数日かかり、その間に侵入される
- パッチが出ない資産の扱いを決められず、判断が宙に浮く
講座が届けるもの
- 多軸トリアージの判断基準を、自組織の様式に落とせる状態にする
- 直せない前提の設計（補完的防御・停止判断・リスク受容）まで一続きで扱う
到達点
- 脆弱性の優先順位付けを判断し、その根拠を一文で説明できる
- 守る対象を知る
- 動ける体制を作る
- 優先度を決める
- 直せない時に備える
- 自動化へ移行
本講座は、各種一次資料に基づいて構成されており、それらを業種を問わず利用できるように一般化した内容となっています。
受講者が自社に学習成果を持ち帰り、根拠をもって上司や決裁権者に説明できるよう、講座資料にも根拠となる一次資料の出典を明記しています。
骨格
- 金融庁・日本銀行「フロンティアAIによる脅威変化を踏まえた短期的な対応」の9項目の順序
- 短期応急（1ヶ月）と中長期（自動化への移行）の2軸で全体を構造化
判断の枠組み
- Gather CTEMの5フェーズ、ISOG-J手引きの2段階設計、CISA SSVC・KEV
脆弱性管理士講座の受講後に実現できること
| 場面 | 受講前 | 受講後 |
|---|---|---|
| 脆弱性が公表された | CVSSを見て高い順に並べる | 到達性・KEV・EPSS・事業影響で並び替える |
| 該当有無を聞かれた | 台帳と担当者に問い合わせる | SBOMと資産台帳で即答する仕組みを設計できる |
| パッチが出ない | 判断を保留する | 補完的防御と受容手続きをセットで設計する |
| 経営に説明する | 件数と深刻度を報告する | 何を先に直すか、なぜかを一文で示す |
| 判断が割れた | 声の大きい意見が通る | 自社の判断基準に照らして決める |
カリキュラム（全7章）
資産から自動化まで、脆弱性管理の全工程を一続きで設計します
各章のワークが、そのまま持ち帰りの成果物になるよう設計されています。
前提と守る対象（1〜2章）
- 脅威変化を数値で押さえ、経営に上げる報告観点を言語化する
- ASMとSBOMで「公表当日に該当有無を返せる」状態を作る
判断（3〜5章）
- 保守契約とリソースの空白を洗い出す
- CVSS・KEV・EPSS・SSVCの使い分けと、多軸トリアージの組み立て
- 90分の机上演習で、8件の脆弱性を一人で並べ替える
直せない前提の設計（6〜7章）
- 仮想パッチ・分離・監視と、リスク受容手続をセットで設計する
- 能動的サービス停止の判断基準と、脆弱性対応の自動化への移行
1日の流れ
午前で脅威と守る対象を押さえ、午後の90分演習で判断を体で覚えられます
演習では、8件の脆弱性が同時に発生したという例で行います。記入様式はISOG-Jの手引きに準拠しているので、そのまま自社の文書の骨格としてもご使用いただけます。
| 時間帯 | セッション |
|---|---|
| 10:00〜10:50 | フロンティアAIで脅威は何が変わったのか |
| 11:00〜12:00 | 守る対象を知る：資産特定と技術負債の解消 |
| 13:00〜13:40 | リソースと契約：有事に動ける体制か |
| 13:40〜14:30 | リスクベーストリアージの理論 |
| 14:40〜16:10 | 机上演習：脆弱性トリアージ（90分） |
| 16:20〜17:10 | パッチが当てられない時：補完防御への設計 |
| 17:10〜17:50 | 止める勇気と、つながる力、そして自動化へ |
| 17:50〜18:00 | クロージング：明日から着手する1項目 |
本講座は、
フロンティアAI時代に求められる
「対応すべき脆弱性を見極め、優先順位を判断できるエンジニア」を育成することを目的としています。
詳細のご確認やご相談は、以下よりお問い合わせください。
日本を代表するサイバーセキュリティ専門家が監修
本講座は、サイバーセキュリティ分野の第一線で長年にわたり実務と人材育成に携わってきた、上野 宣 氏の監修のもとで開発されています。
上野氏は、奈良先端科学技術大学院大学にて情報セキュリティを専攻後、2006年に株式会社トライコーダを設立。 ペネトレーションテストやサイバーセキュリティ演習の設計・提供を通じて、攻撃者視点を取り入れた実践的なセキュリティ教育を数多く手がけてきました。
また、OWASP Japan 代表として国際的なセキュリティ標準や知見の普及に携わるとともに、GSX社外取締役としてセキュリティ人材育成や教育コンテンツの品質向上にも関わっています。
本講座では、こうした豊富な実務経験を背景に、 AIを単なる便利なツールとして使うのではなく、攻撃を前提にAIを含むシステムを安全に設計・運用・判断できるエンジニアの育成を重視した内容設計が行われています。
上野 宣
株式会社トライコーダ 代表取締役／
OWASP Japan 代表
グローバルセキュリティエキスパート株式会社 社外取締役
受講期間 |
1日（10:00〜18:00） |
|---|---|
受講形態 |
オンラインライブ、オンデマンド配信（座学＋机上のワーク） |
受講料金 |
132,000円（税込） |
| 開催日程 |
開講は8〜9月を予定しております |
