パッチ管理・セキュリティパッチとは？ぱっちかんり・せきゅりてぃぱっち
パッチ管理・セキュリティパッチとは、OSやソフトウェアの脆弱性を修正する更新プログラム（セキュリティパッチ）について、対象資産の把握、優先度付け、検証、適用、適用状況の確認までを継続的に回す運用。未適用の脆弱性は侵入経路として最も狙われるため、構成管理と一体で設計する。ITILの変更管理プロセスに乗せて回すのが基本形になる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
脆弱性情報は公開された瞬間から攻撃側の手がかりにもなり、公表から悪用までの猶予は短い。一方で本番システムへ即座に当てれば、業務が止まる副作用の危険がある。急ぐ理由と急げない理由が正面から衝突するため、その場の判断ではなく、優先度と検証手順を決めた運用として回す必要がある。
具体例
資産台帳から対象を洗い出し、CVSSの深刻度と外部公開の有無で優先度を付け、検証環境で確認してからWSUSやIntune、Ansibleで一斉配布する。IPAとJPCERT/CCが運営するJVNや各ベンダの公開情報が入力になる。
試験での引っ掛け
ゼロデイ攻撃は修正パッチが存在しない期間を突くため、パッチ管理を徹底しても防げない点が境界として問われる。「早く当てるほど良い」も単純化しすぎで、適用前の検証と適用後の確認まで含めて管理する。EOLを迎えた製品はそもそもパッチが出ない。
関連用語
出た過去問
出典：平成30年度 秋期 応用情報技術者試験 午前 問38（IPA）
JIS X 9401:2016（情報技術－クラウドコンピューティング－概要及び用語）の定義によるクラウドサービス区分において，パブリッククラウドのクラウドサービ…
正解：IaaS=実施可，PaaS=実施不可，SaaS=実施不可
要点：ゲストOSの管理責任はIaaSではカスタマ、PaaS以上は事業者。
IaaSでは仮想サーバが提供され、その上のゲストOSはカスタマ側の責任範囲になるため、セキュリティパッチの管理と適用はカスタマのシステム管理者が実施できる。PaaSはOSやミドルウェアまで、SaaSはアプリケーションまでを事業者が管理するので、カスタマがゲストOSにパッチを当てることはできない。責任分界点がサービス区分ごとに上がっていく点が鍵である。
出典：令和3年度 秋期 応用情報技術者試験 午前 問45（IPA）
化学製品を製造する化学プラントに、情報ネットワークと制御ネットワークがある。この二つのネットワークを接続し、その境界に、制御ネットワークのセキュリティを高めるた…
正解：定期的にソフトウェアをアップデートする機器に対して、情報ネットワークから入手したアップデートソフトウェアを提供するパッチ管理サーバ
要点：制御網と情報網の両方と通信する機器だけをDMZに置く
制御ネットワークは外部と直接つながらないよう分離するのが原則で、どうしても情報ネットワークとやり取りが必要な機器だけをDMZに置く。パッチ管理サーバは情報ネットワーク側から更新ソフトウェアを受け取り、制御側の機器へ配布する役目なので、両者と通信する必要がありDMZに置くのが適切である。センサ・コントローラ・操作端末は制御プロセスそのものを担うため制御ネットワーク内に残す。
出典・参考
公式シラバスの3 技術要素 ＞ 4. 情報セキュリティ対策 ＞ (1) 情報セキュリティ対策の種類に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。