NEC「cotomi Security for Industry」、9月末から脆弱性の優先順位付け〜仮想パッチをAI支援

NECの「cotomi Security for Industry」は、高性能AIなどで発見された未公開脆弱性を取り込み、脆弱性の種類や深刻度の分類、システムへの影響分析、対応優先度の判断、仮想パッチ生成を支援する技術です。公開済み脆弱性だけでなく、従来の評価指標が整っていない未公開脆弱性も対象にしています。

NECは米国CISAが2026年6月に発行したBOD26-04の考え方を取り入れ、インターネット露出や悪用事例なども見ながら「3日以内」「14日以内」「次のシステム更新時」などの優先度判断を支援すると説明しています。複数の脆弱性を組み合わせた攻撃経路も評価対象です。

脆弱性から想定される攻撃手法を分析し、WAFやIDS/IPSへ適用できる仮想パッチをAIで生成します。ベンダーの正式パッチがまだない場合や、システム影響で即時適用が難しい場合のリスク低減を狙うものです。NECは社内Webサービスで一連のプロセスを検証したとしています。

NECは「CyIOC システムリスク診断（脆弱性管理）」へ実装し、9月末から順次提供を始める予定です。仮想パッチはネットワーク動作に影響する可能性があるため、導入企業は対象資産、テスト環境、ロールバック手順、ログ監視、最終承認者を自社の変更管理ルールで確認する必要があります。