現在、対応する脅威が特定されていない脆弱性であっても、認識し監視する必要があります。脆弱性とは悪用される可能性のある弱点ですが、リスクは通常、資産、脅威、脆弱性、発生可能性、および結果の関係によって決まります。現在活動中の脅威や関連する脅威が特定されていない場合、即時の対応は適切ではない可能性があります。しかし、脆弱性を無視することは、ISO/IEC 27002のリスク認識型アプローチと矛盾します。脅威の状況は変化します。今日優先度が低いと思われる弱点も、新たな攻撃手法、システムへの露出、ビジネスの変化、サプライヤーの変更、または脅威アクターの能力の出現後に悪用可能になる可能性があります。脆弱性を認識することで、記録され、将来の評価に利用できるようになります。脆弱性を監視することで、組織は悪用可能性、露出、または脅威の関連性の変化を検出できます。ISO/IEC 27002は、脅威インテリジェンスと技術的脆弱性の管理を通じてこれをサポートしており、どちらも組織が脅威と脆弱性の状況の変化に常に注意を払うことを要求します。したがって、正しい答えは、脆弱性を認識し監視することです。参考文献
/章: ISO/IEC 27002:2022、管理策 5.7 脅威インテリジェンス、管理策 8.8 技術的脆弱性の管理、管理策 5.36 情報セキュリティに関する方針、規則、および標準の遵守。