割れ窓理論は脆弱性管理をどう照らすか
単一脆弱性ではなく「放置のシグナル」を読む
脆弱性管理をめぐる議論では、しばしば「重大な脆弱性を何件抱えているか」が焦点になる。だが、企業の攻撃リスクを本当に左右するのは、脆弱性の件数そのものではない。問うべきなのは、その脆弱性がどこに存在し、どれほど悪用されやすく、そして何より、組織がそれを継続的に制御できているかどうかである。本稿は、犯罪学の「割れ窓理論」を安易に援用するのではなく、その限定的な含意を手がかりとして、脆弱性管理の本質を「欠陥」ではなく「放置のシグナル」として捉え直す。
割れ窓理論を、そのままサイバーに持ち込んではならない
割れ窓理論は、目に見える小さな無秩序の放置が、より大きな逸脱や秩序崩壊を誘発しうるという着想で知られている。しかし、近年の犯罪学研究は、この理論の強い因果命題。すなわち、物理的・社会的無秩序が住民の恐怖や攻撃性を高め、それが重大犯罪へ直結するという見方。それを一貫して支持してはいない。むしろ、そうした主張の一部は研究設計上の限界や交絡の影響を受けている可能性が高いとされる。
この点は重要である。サイバーセキュリティの文脈で割れ窓理論を語るなら、「小さな乱れは必ず大事故を呼ぶ」という決定論として使うべきではない。そうではなく、「放置された異常は、統制不全のシグナルとして読まれる」という限定的な比喩として扱うべきだ。ここに立つことで、割れ窓理論は脆弱性管理に対して、過度に単純化されないかたちで有益な視角を与える。
問題は脆弱性ではなく、その脆弱性を放置してしまう組織能力である
企業の情報システムにおいて、未修正の脆弱性は単なる技術的不具合ではない。それは、資産把握の不備、優先順位付けの弱さ、例外運用の常態化、運用部門との調整不全、あるいはパッチ適用能力の不足を外部に示す徴候でもある。NISTがエンタープライズ・パッチ管理を、脆弱性を特定し、優先順位を決め、取得・適用し、結果を検証する組織的プロセスとして定義し、これを予防保全の中核に置くのは、まさにこのためだ。
したがって、経営やセキュリティ統治の観点から本当に問うべきなのは、「脆弱性があるかどうか」ではない。現実には、脆弱性の存在それ自体は避けがたい。重要なのは、それを継続的に把握し、優先順位をつけ、例外を管理し、修正しきる能力があるかどうかである。言い換えれば、問題は脆弱性ではなく、その脆弱性を放置してしまう組織能力なのである。
「一つの脆弱性が会社全体を危険にする」は正しく、しかし雑でもある
もっとも、「脆弱性が一つあれば会社全体のリスクが上がる」とだけ言ってしまうと、議論は粗くなる。実証研究によれば、公開された脆弱性のすべてが同じように悪用されるわけではない。約3億件の侵入防御テレメトリを分析した研究では、現実に悪用される脆弱性は全体の一部にとどまり、むしろ少数の脆弱性が攻撃の大半を支配していた。また、新しい製品バージョンへの迅速な更新は、実際に行使される攻撃面を縮小する傾向を示した。
ここから導かれるのは明快である。企業リスクを押し上げるのは脆弱性の件数ではない。どの脆弱性が、どの資産にあり、どの程度インターネットへ露出し、どのような環境条件のもとで悪用されうるのか。その具体的な文脈こそが重要なのである。単一脆弱性が危険なのではない。悪用されうる単一脆弱性が、放置されたまま重要資産につながっている状態が危険なのである。
「重大な一個」ではなく、「使われる一個」を見よ
この点を実務上もっとも明確に示しているのが、CISA の既知悪用脆弱性に関する考え方である。CISAは、脆弱性管理において、理論上の重大度だけでなく、実際の悪用実績を重視すべきだと明言している。Known Exploited Vulnerabilities Catalog が意味を持つのは、すべての脆弱性が同じではなく、「いま現実に使われている脆弱性」が組織にとって別格の脅威だからである。
さらにCISAは、攻撃者が高深刻度の脆弱性だけを狙うわけではないことも指摘する。中程度、あるいは一見すると低リスクに見える弱点であっても、それが侵入の足掛かりとなり、別の脆弱性や設定不備と連鎖することで、大きな侵害へ発展しうる。したがって、企業全体のリスクを押し上げるのは「重大な一個」ではない。攻撃経路の中に組み込まれた「使われる一個」である。
EPSSが示す、割れた窓の「狙われやすさ」
この議論をさらに精密にするのが、FIRST の EPSS である。EPSSはCVSSのような「重大度」を示すものではなく、ある脆弱性が今後30日以内に実際に悪用される確率を推定する。ここで重要なのは、EPSSが脆弱性を静的な属性としてではなく、攻撃者の行動可能性に接続された動的な対象として扱っている点だ。
この考え方に立てば、企業にとって意味を持つのは「窓が割れているか」だけではない。「その窓がどれほど狙われやすいか」、そして「その窓の向こうに何があるか」が決定的になる。単一脆弱性の悪用可能性は、端末単位にとどまらず、サブネット、拠点、事業部門、さらには組織全体のリスクへと拡張されうる。割れ窓理論の比喩が現代の脆弱性管理論として意味を持つのは、この確率論的な優先順位付けと接続されたときに限られる。
AIは「脆弱性の存在」より「放置時間」を危険化する
この構図をさらに先鋭化しているのが、AIによる脆弱性探索と武器化の高速化である。Anthropic は Mythos Preview について、主要なOSやブラウザにまたがってゼロデイ脆弱性の発見と悪用能力を示したと説明している。また Axios は、Anthropic 関係者の説明として、限定されたテスト条件下で脆弱性の再現とPoC作成が初回試行で83.1%成功したと報じている。ただし、この数値は「世の中のゼロデイの80%を武器化できる」という一般命題を意味するものではない。あくまで特定の評価条件における成功率であり、そのまま広く一般化するのは避けるべきである。
むしろ、脆弱性管理論としてより重要なのは、Anthropic が別途公表した N-day の武器化速度である。公開済みだが未修正の脆弱性に対し、Mythos Preview は Firefox の18件のセキュリティパッチから8件の実用的なコード実行エクスプロイトを自律生成し、Windows カーネルの21件では8件の完全な権限昇格チェーンを構築したとされる。つまり、AIが直ちに意味するのは「未知の脆弱性が無限に増える」ということよりも、公開後から修正完了までの patch gap が急速に危険化するということである。
ここで本稿の主題はさらに明確になる。攻撃側の武器化速度が防御側の修正速度を上回るとき、脆弱性管理の失敗は技術的欠陥の集積ではなく、組織統制の遅延として現れる。AIは脆弱性管理の論点を「見つけること」から「直し切ること」へ一段とはっきり移しつつあるのである。
真の争点は「見つけること」ではなく「直し切ること」にある
脆弱性管理の問題は、検出で終わらない。大規模なオープンソース研究では、セキュリティ欠陥の三分の一が修正まで三年以上潜伏していたこと、また修正パッチの一部には副作用や不完全修正が含まれていたことが示されている。さらに、パッチ開発と公開のあいだには、攻撃者が差分解析を通じて先行できる時間差が存在しうる。
別の実証研究は、パッチ公開それ自体が短期的な攻撃増加を招く場合があることを示した。背景にあるのは、防御側の適用遅延である。攻撃者はパッチから学習し、利用者はすぐには適用しない。この非対称性のなかで、真のリスクは「脆弱性の有無」より、「公開後にどれだけ速く、正確に、継続的に対処できるか」によって決まる。
要するに、脆弱性管理とは一覧表を作ることではない。優先順位を誤らず、運用停止の痛みを引き受け、例外を安易に増やさず、修正をやり切る統治能力の問題なのである。
「ひとりひとりの意識」が最後に効いてくる
自責の文化と、他責の文化
ここで見落としてはならないのが、組織文化の次元である。防犯の実務文脈では、安全なまちは制度や設備だけでは成立せず、「ひとりひとりの意識」によって支えられると語られてきた。ALSOKが紹介する割れ窓理論の実務的含意も、清掃、見回り、環境整備といった日常的行動が、秩序と抑止の感覚を支えるという点にある。
この発想は、企業の脆弱性管理にも応用できる。未修正脆弱性を「情シスの問題」「セキュリティ部門の責任」「ベンダーの対応待ち」として扱う組織では、資産棚卸し、再起動、構成変更、例外申請の見直し、停止を伴うメンテナンス調整といった地味で重要な作業が後回しにされやすい。そこでは脆弱性は技術課題である以前に、責任の外部化によって増幅される統治課題となる。
反対に、自部門の判断や遅延が全社リスクに接続していると理解する組織では、脆弱性管理は自責の原則で動く。ここでいう自責とは、個人を責めるという意味ではない。自分たちの運用判断がリスクに影響することを引き受ける、当事者意識としての自責である。割れ窓理論が脆弱性管理に照らし出す最大の論点は、脆弱性をゼロにすることではない。脆弱性を「誰かの問題」として放置しない文化を、いかに組織内に定着させるかである。
結論
サイバーセキュリティにおける真の「割れ窓」とは何か
サイバーセキュリティにおける割れ窓とは、単一脆弱性そのものではない。真の割れ窓は、単一脆弱性を放置してしまう組織の管理状態にある。脆弱性の存在は避けられなくとも、資産の可視化、悪用可能性に基づく優先順位付け、迅速なパッチ適用、例外管理の統制、そして部門横断での当事者意識が機能していれば、それは直ちに企業全体の危険を意味しない。
逆に、既知悪用脆弱性が露出資産に残り続け、その修正遅延が常態化し、しかもそれが「誰かの責任」として先送りされるなら、その一つの「窓」は組織全体の攻撃リスクを不均衡に押し上げる。AIによって exploit の作成や patch gap の圧縮が進む時代には、この「放置のコスト」はさらに高くなる。割れ窓理論を脆弱性管理に結びつける意義は、小さな欠陥が必ず大事故を招くと脅すことではない。小さな欠陥の放置が、組織統制の失敗を外部化する。その構造を見抜くための視角を与えることにある。
参照
- O'Brien, D. T., Farrell, C., & Welsh, B. C., "Looking through broken windows: The impact of neighborhood disorder on aggression and fear of crime is an artifact of research design." Annual Review of Criminology
- NIST SP 800-40r4, Guide to Enterprise Patch Management Planning. NIST
- Nayak, K. et al., "Some vulnerabilities are different than others: Studying vulnerabilities and attack surfaces in the wild." University of Maryland
- CISA, BOD 22-01: Reducing the Significant Risk of Known Exploited Vulnerabilities. CISA
- FIRST, EPSS FAQ. FIRST
- Jacobs, J. et al., "Enhancing vulnerability prioritization: Data-driven exploit predictions with community-driven insights." arXiv
- Li, F., & Paxson, V., "A Large-Scale Empirical Study of Security Patches." icir.org
- Arora, A., Nandkumar, A., & Telang, R., "Does information security attack frequency increase with vulnerability disclosure? An empirical analysis." Springer
- Anthropic, "Assessing Claude Mythos Preview's cybersecurity capabilities." Anthropic Red Team
- Anthropic, "Measuring LLMs' impact on N-day exploits." Anthropic
- Barinksy, S., "Anthropic withholds Mythos Preview model because its hacking is too powerful." Axios
- Barinksy, S., "Anthropic: Mythos AI rapidly exploits new software flaws." Axios
- ALSOK, 「割れ窓理論とは？まちを清掃すると犯罪率が下がる理由」