ServiceNow における脆弱性対応とセキュリティインシデント対応は、リスクの正確な評価、修復タスクの優先順位付け、そしてステークホルダーへの影響の伝達において、ビジネスコンテキストに大きく依存しています。CSDM(共通サービスデータモデル)の観点から見ると、このコンテキストは主に、アプリケーションサービスとビジネスアプリケーション間の適切にモデル化された関係を通じて提供されます。
「アプリケーションサービスとビジネスアプリケーションの関係」Get Well Playbookは、この要件に直接対応しています。CSDMでは、アプリケーションサービスは環境内で実行される技術的かつ展開可能なサービスを表し、ビジネスアプリケーションはビジネス機能をサポートする論理アプリケーションを表します。
これら 2 つが正しく関連付けられると、セキュリティ チームは、脆弱性やセキュリティ インシデントによって影響を受けるビジネス プロセス、顧客、収益源を明確に把握できます。
この関係性がなければ、脆弱性は検出される可能性はありますが、意味のある優先順位付けはできません。例えば、収益を生み出す、あるいは顧客対応を行うビジネスアプリケーションをサポートするアプリケーションサービスにおける重大な脆弱性は、影響度の低い社内ツールに関連する脆弱性よりもはるかに緊急に対処する必要があります。この関係性こそが、純粋に技術的な深刻度に基づく優先順位付けではなく、リスクに基づく優先順位付けを可能にするのです。
他の選択肢は、このニーズを満たしません。ロケーション階層の問題(選択肢A)とCIライフサイクルステータスの一貫性(選択肢D)は、セキュリティコンテキストではなく、CMDBの衛生状態とガバナンスに関係します。製品オーナーシップのギャップ(選択肢C)は説明責任に影響しますが、セキュリティ対応におけるリスク推定を直接的に可能にするものではありません。
したがって、オプション B は、脆弱性対応およびセキュリティ インシデント対応ワークフローで十分なビジネス コンテキストを確保するための、正しい CSDM 準拠の Get Well Playbook です。