脆弱性のスコアリングをやめ、重要なものの優先順位付けを始めましょう。

VSARは、TXOne Edge（ネットワーク露出状況、仮想パッチのステータス）、TXOne Stellar（エンドポイント設定、アプリケーション状態）、TXOne Element（検査履歴）からデータを取り込み、各アセットが実際にどのように保護されているかを把握します。仮想パッチが展開された3つのファイアウォールセグメントの内側にあるシステムの脆弱性は、補完的コントロールのないインターネット向けシステムの同じ脆弱性とは異なるリスクです。VSARはその違いを認識します。CVSSは認識しません。

VSARはスコアリングに業務上の重要度の重み付けを適用します。安全システムを制御するPLC上の脆弱性は、コンフィギュレーションバックアップに使用されるエンジニアリングワークステーション上の同じ脆弱性とは異なるスコアになります。業務上の重要度は現場チームが定義します。生産ゾーン、安全機能、交換の難しさでアセットにタグを付けます。VSARはそれらのタグをリスクスコアの重み付けに使用します。現場チームは、自分たちが認識でき、対応できるリスクリストを受け取ります。

VSARスコアリングの結果は、80/20の優先順位付けです。典型的なOT環境では、業務コンテキストでスコアリングした場合、脆弱性の約20%が実際に業務に脅威をもたらします。これらが修復が必要なものです。残りの80%は、補完的コントロールによって緩和されているか、ネットワークセグメンテーションによってブロックされているか、特定の環境では悪用不可能か、業務上の重要度が低いものです。VSARは重要な20%とそうでない80%を分離します。

企業のセキュリティチームが修復アクションを提案すると、現場フロアに届く前にSenninOneの承認ワークフローを経由します。現場チームは提案された変更をレビューし、業務上の知見と照合して、文書化された根拠をもとに承認または却下します。企業チームは沈黙ではなく、構造化された回答を得られます。現場チームは自分たちのシステムに何が行われるかについての制御を維持します。両チームは同じリスクデータを使用します。

VSARスコアリングは、TXOne Edgeからの仮想パッチ適用状況とTXOne Stellarからのエンドポイント保護状況を統合します。CVEに仮想パッチが展開されている場合、VSARはそのアセットの実効リスクスコアを引き下げます。リスクスコアは現実を反映します。どの脆弱性が存在するかだけでなく、導入済みのTXOne製品によってどれが積極的に保護されているかも示されます。コンプライアンスレポートは、脆弱性、補完的コントロール、VSARスコアの残存リスクという完全な全体像を監査担当者に提示します。