脆弱性管理／パッチ管理とは？ぜいじゃくせいかんりぱっちかんり
脆弱性管理／パッチ管理とは、保有資産にどの脆弱性があるかを継続的に把握し、深刻度と悪用の実情から適用の順位と期限を決め、是正の完了までを追跡する運用。すべてをすぐ直せない前提に立ち、何を後回しにし何を代替策で凌ぐかを説明できる状態にすることが目的になる。
最終更新：2026-10-06
情報処理安全確保支援士を最短で暗記・合格する →背景
公表される脆弱性は年に数万件へ達する一方、担当者の人数と停止できる時間は増えない。全件に即応する運用は最初から成立せず、放置を「忙しかった」で片づける状態は監査に耐えない。判断の根拠と期限をあらかじめ決めておく仕組みとして、この運用が求められる。
具体例
SBOMで利用中の部品を洗い出し、JVN iPediaやNVDの公表と突き合わせる。外部公開資産のCVSS基本値7.0以上は14日、内部限定は90日と期限を定め、期限内に直せないものは代替策と承認者を記録して例外台帳に載せる。
試験での引っ掛け
CVSS基本値だけで順序を決めるのは不十分で、公開範囲や悪用コードの流通を織り込む現状値・環境値の観点が要る。パッチ適用だけが是正ではなく、機能の停止や設定変更による回避も正式な選択肢。資産目録が欠けていれば対象から漏れる点も狙われる。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。