機器台帳の不一致を整理し、脆弱性評価につなげる

各情報をどのツールが、いつ取得したかを記録します。IPアドレスや名前は変わることがあり、複数の記録が一つの機器を指す場合もあります。識別子と周辺情報を使って照合し、誤って統合した場合に調査して戻せるよう、元の情報を残します。

メーカー、型番、必要に応じてハードウェアの版やファームウェアを確認します。確認済み、推定、未取得を分けて管理してください。照合スコアには定義と検証方法が必要で、数字だけで正しい確率を表すとは限りません。自社の機器を代表するサンプルで、誤った照合と見落としを確認します。

脆弱性や保守期限の情報について、元のアドバイザリーと対象バージョンの条件を残します。実際の設定や接続状況に該当するかも確認します。公開データベース、メーカーの情報、情報サービスを照合し、型番やファームウェアが未確認の機器を、正確に評価済みとして扱わないようにします。

不一致や例外を確認する担当と、更新・機器交換後に見直す手順を決めます。承認した記録は、検証済みの連携を使って対応チケットや変更管理につなげます。確認できた照合の割合、未解決件数、調査時間などを測定しますが、これらは評価の指標であり、事前に保証できる効果ではありません。

定義と検証結果がなければ、そう判断できません。スコアの意味を確認し、自社の記録で誤った照合と見落としを検証します。

元の情報、取得日時、確認済みと推定の項目、未解決の点、統合を修正する手順を残します。判定に疑問が生じたときに調査するために必要です。