脆弱性管理／パッチ管理とは？

脆弱性管理／パッチ管理の意味

自組織の資産に存在する脆弱性を継続的に把握し、深刻度と実際の悪用状況をもとに適用の優先順位と期限を決めて是正する運用プロセス。すべてを即座に直せない前提で、何を先に直し何を代替策で凌ぐかの判断が問われる。

脆弱性管理／パッチ管理の具体例

公表されたCVEについて、CVSS基本値7.0以上かつ外部公開資産に該当するものは14日以内、内部限定は90日以内と期限を定める。期限内に適用できないサーバはWAFのシグネチャで一時的に防ぎ、例外として期限と承認者を台帳に記録して追跡する。

脆弱性管理／パッチ管理は試験でどう引っ掛けられる？

CVSS基本値だけで優先度を決めるのは不十分で、公開範囲や悪用コードの流通状況を加味した現状値・環境値の観点が要る。また「パッチ適用」だけが是正ではなく、機能停止や設定変更による回避も正式な対応手段である。

脆弱性管理／パッチ管理と関連する用語

• CVE
• 仮想パッチ

脆弱性管理／パッチ管理が出た過去問

• 化学製品を製造する化学プラントに、情報ネットワークと制御ネットワークがある。この二つのネットワークを接続し、その境界に、制御ネットワークのセキュリティを高めるた…

  正解：定期的にソフトウェアをアップデートする機器に対して、情報ネットワークから入手したアップデートソフトウェアを提供するパッチ管理サーバ

  要点：制御網と情報網の両方と通信する機器だけをDMZに置く

  制御ネットワークは外部と直接つながらないよう分離するのが原則で、どうしても情報ネットワークとやり取りが必要な機器だけをDMZに置く。パッチ管理サーバは情報ネットワーク側から更新ソフトウェアを受け取り、制御側の機器へ配布する役目なので、両者と通信する必要がありDMZに置くのが適切である。センサ・コントローラ・操作端末は制御プロセスそのものを担うため制御ネットワーク内に残す。

  出典：令和3年度 秋期 応用情報技術者試験 午前 問45（IPA）

• ソフトウェアの情報セキュリティ対策のうち，SBOM（Software Bill Of Materials）管理ツールを用いることができるものはどれか。

  正解：ソフトウェアについての脆弱性管理

  要点：SBOMは構成部品一覧で、脆弱性の影響範囲を素早く特定する

  SBOMはソフトウェアを構成する部品（ライブラリやコンポーネント）とそのバージョン、依存関係を一覧化したものである。これを管理しておくと、新たな脆弱性が公表されたときに、影響を受ける製品や箇所を素早く特定できる。したがって用途の中心はソフトウェアの脆弱性管理である。

  出典：令和7年度 春期 応用情報技術者試験 午前 問40（IPA）