脆弱性を管理

「脆弱性」では、複数回のスキャン結果をアプリケーション横断でまとめ、対応状況を管理します。

一覧を絞り込む

アプリケーション、プラットフォーム、Severity、状態、優先度、担当者、期限、検出日、キーワードで絞り込めます。最初は次の順で確認するのがおすすめです。

1. CriticalとHigh
2. 状態が「未対応」
3. 優先度がP0またはP1
4. 期限超過、または担当者未設定

詳細を確認する

脆弱性を開き、次の情報を確認します。

• 影響と概要: 何が起きる可能性があるか
• 根拠: 検出に使われたコード、設定、文字列など
• 修正方法: 推奨される対策
• CWE / CVSS / Confidence: 分類、深刻度、検出の確からしさ
• 検出履歴: どのスキャン・プラットフォームで検出されたか

タイトルやSeverityだけで結論を出さず、根拠と実際の利用状況を合わせて判断してください。

トリアージする

書き込み権限を持つユーザーは、次の項目を更新できます。

項目	用途
状態	未対応、対応中、修正済み、重複
優先度	P0（最優先）〜P4
担当者	対応を進める組織メンバー
期限	修正または再判断する日

「リスク受容」と「誤検知」は通常の状態変更では選べません。監査可能な判断として残すため、リスク例外から申請し、組織管理者が承認します。

状態の使い分け

状態	使うタイミング
未対応	未調査、または対応方針が未決定
対応中	調査、修正、検証を進めている
修正済み	修正を完了した。次回スキャンで再検出されないことを確認する
重複	別の脆弱性と同じ原因・対応で管理する
リスク受容	問題は存在するが、期限付きで修正しない判断を承認した
誤検知	実環境では問題に該当しないと判断し、期限付きで承認した

「修正済み」に変えても、バイナリを再スキャンするまでは技術的な解消を証明できません。次回スキャンの検出履歴とセキュリティゲートを確認してください。

コメントを残す

調査結果、再現条件、修正PR、確認した設定、判断の前提などをコメントに残します。個人情報、認証情報、秘密鍵などの機密情報は記載しないでください。