脆弱性管理とは？

脆弱性管理の意味

資産の把握、脆弱性情報の収集、影響度の評価、対応期限の設定、適用と結果確認までを継続的に回す運用。すべてを即時修正することはできないため、公開範囲・攻撃コードの有無・実際の悪用状況を加味して優先順位を決めるのが実務の中心になる。

脆弱性管理の具体例

外部公開サーバの緊急度の高い脆弱性は72時間以内、内部限定は30日以内、といった社内の対応期限を定める。停止できない機器は仮想パッチで暫定対応し、定期メンテナンス時に恒久対応する、と例外の扱いまで手順化しておく。

脆弱性管理は試験でどう引っ掛けられる？

「CVSS基本値の高い順に対応する」は不十分で、環境評価基準や既知悪用情報を加味するのが実務上の正解。パッチ適用後に適用結果を検証しないと、失敗した端末や再起動待ちの端末が残り、管理表だけが完了になる。

脆弱性管理と関連する用語

• 仮想パッチ
• CVSS
• 変更管理

脆弱性管理が出た過去問

• 脆弱性管理、測定、評価を自動化するためにNISTが策定した基準はどれか。

  正解：SCAP (Security Content Automation Protocol)

  要点：SCAPは脆弱性管理と評価を自動化するNISTの仕様群

  SCAPは、脆弱性や設定に関する情報を機械可読な形式で表現し、その管理・測定・評価を自動化するためにNISTが定めた仕様群である。脆弱性の識別子であるCVE、深刻度を数値化するCVSS、設定項目の識別子CCE、製品識別子CPEなどの標準を組み合わせて構成される。共通の識別子を用いることで、異なる製品間で脆弱性情報を突き合わせ、自動的に評価できる。

  出典：令和5年度 秋期 情報処理安全確保支援士試験 am2 問12（IPA）

• ソフトウェアの脆弱性管理のためのツールとしても利用されるSBOM(Software Bill of Materials)はどれか。

  正解：ソフトウェアを構成するコンポーネント、互いの依存関係などのリスト

  要点：SBOMは構成部品と依存関係の一覧で影響調査を速める

  SBOMは、ソフトウェアを構成する部品、すなわち利用しているライブラリやコンポーネントとそのバージョン、相互の依存関係を機械可読な形で列挙したものである。新たな脆弱性が公表された際、自社製品のどこに該当部品が含まれるかを短時間で特定でき、影響調査と対処の迅速化につながる。サプライチェーンの透明性を高める手段として、公的な調達要件にも取り入れられている。

  出典：令和6年度 春期 情報処理安全確保支援士試験 am2 問17（IPA）