パッチ適用・脆弱性対応の運用とは？
パッチ適用・脆弱性対応の運用とは、公開された脆弱性情報を継続的に収集し、自組織の構成情報と突き合わせて影響を判定し、深刻度に応じた期限内に修正を適用する一連の運用。適用そのものが変更にあたるため、通常の変更管理の手続と組み合わせて回す必要がある。
応用情報技術者試験の過去問では2回出題されています（2023年度〜2025年度）。
ぱっちてきようとぜいじゃくせいたいおうのうんよう
パッチ適用・脆弱性対応の運用の意味
公開された脆弱性情報を継続的に収集し、自組織の構成情報と突き合わせて影響を判定し、深刻度に応じた期限内に修正を適用する一連の運用。適用そのものが変更にあたるため、通常の変更管理の手続と組み合わせて回す必要がある。
パッチ適用・脆弱性対応の運用の具体例
深刻度が最高の脆弱性は72時間以内、高は2週間以内、中は次回定期メンテナンスで適用する基準を定める。業務影響で適用できない場合は、通信の遮断や機能停止といった暫定対応を取り、リスク受容を責任者が承認して記録する。
パッチ適用・脆弱性対応の運用は試験でどう引っ掛けられる？
「すべて最新版へ即時適用」は業務停止や互換性障害を招くため現実的でない。適用しない判断も、代替策と承認の記録が残っていれば統制として成立する点が問われる。
パッチ適用・脆弱性対応の運用と関連する用語
パッチ適用・脆弱性対応の運用が出た過去問
A社は、自社がオンプレミスで運用している業務システムを、クラウドサービスへ段階的に移行する。段階的移行では、初めにネットワークとサーバをIaaSに移行し、次に全…
正解：IaaSへの移行によって不要：②、③、PaaSへの移行によって不要：④
要点：クラウドの責任分界に沿って、事業者側に移る作業が消える
IaaSではハードウェアと仮想サーバの基盤を事業者が運用するため、物理サーバの起動停止操作や保守ランプの目視監視は不要になる。さらにPaaSへ移すとミドルウェアの管理も事業者側の責任範囲となるため、パッチ適用が不要になる。業務システム自体のジョブ監視は利用者の責任として残る。
出典：令和5年度 春期 応用情報技術者試験 午前 問57（IPA）A社は，自社がオンプレミスで運用している業務システムを，クラウドサービスへ段階的に移行する。段階的移行では，初めにネットワークとサーバをIaaSに移行し，次に全…
正解：IaaSへの移行によって不要となる作業：②，③／PaaSへの移行によって不要となる作業：④
要点：IaaSでハードウェア運用、PaaSでOS・ミドルウェア運用が事業者側に移る
IaaSでは物理的なハードウェアと仮想化基盤を事業者が持つため、物理サーバの起動・停止操作や、機器の保守ランプを目視で確認する作業は利用者側で不要になる。次にPaaSへ移行するとOSやミドルウェアの管理も事業者側になるので、ミドルウェアへのパッチ適用が不要になる。一方、業務アプリのバッチジョブ監視はどちらの移行でも利用者の責任として残る。
出典：令和7年度 春期 応用情報技術者試験 午前 問56（IPA）
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。