脆弱性管理とは？ぜいじゃくせいかんり
脆弱性管理とは、何をどれだけ保有しているかの把握から、脆弱性情報の収集、自組織における影響度の評価、対応期限の設定、修正の適用と結果の確認までを、途切れさせずに回し続ける運用。公開される件数に対して直せる量は限られるため、どの順で手を付けるかを決める部分が運用の中心になる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
自社で書いたコードよりも、取り込んだライブラリや購入した製品のほうが行数では圧倒的に多い。使っていることを把握していない部品の脆弱性は、公表されても自組織の課題として立ち上がらない。だから在庫の可視化が先に来る。ソフトウェア構成分析やSBOMが管理策として語られるのは、この順序による。
具体例
公開情報はJVNとNVDから取り、深刻度はCVSS、実際に悪用が観測されているかはCISAのKEVカタログで確かめる。外部公開資産は72時間以内、内部限定は30日以内といった期限を社内で決め、止められない機器はWAFなどによる仮想パッチで凌いで、定期メンテナンス時に恒久対応へ切り替える。
試験での引っ掛け
CVSS基本値の高い順に片付ける運用は不十分で、公開範囲や悪用の有無を織り込む現状評価基準・環境評価基準まで見て順序を決める。適用したつもりで再起動待ちの端末が残り、管理表だけが完了になるのもよくある穴なので、適用後の実機確認までを手順に含める。
関連用語
出た過去問
出典：令和5年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問12（IPA）
出典：令和6年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問17（IPA）
ソフトウェアの脆弱性管理のためのツールとしても利用されるSBOM(Software Bill of Materials)はどれか。
正解：ソフトウェアを構成するコンポーネント、互いの依存関係などのリスト
要点：SBOMは構成部品と依存関係の一覧で影響調査を速める
SBOMは、ソフトウェアを構成する部品、すなわち利用しているライブラリやコンポーネントとそのバージョン、相互の依存関係を機械可読な形で列挙したものである。新たな脆弱性が公表された際、自社製品のどこに該当部品が含まれるかを短時間で特定でき、影響調査と対処の迅速化につながる。サプライチェーンの透明性を高める手段として、公的な調達要件にも取り入れられている。
出典・参考
公式シラバスの3 技術要素 ＞ 4. 情報セキュリティ対策 ＞ (1) 情報セキュリティ対策の種類に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。