脆弱性情報の収集・評価とセキュリティパッチ適用判断

脆弱性への優先対応では、深刻度と自社への影響を確認し、更新の優先順位を決めます。用語を覚えるだけでなく、事例の条件に合う対策を選べるように整理しましょう。

科目Aで基本的な意味を確認し、科目Bでは「守る情報・起きた事象・組織のルール・担当者の権限」を読み取ります。本文の確認問題は、考え方を練習するためのオリジナル問題です。

深刻度と自社への影響を確認し、更新の優先順位を決めます。比較表と事例問題で確認した後は、正解以外の選択肢が条件に合わない理由も説明してみてください。

1. 脆弱性情報の標準指標（CVE と CVSS）

CVEは脆弱性を識別する番号、JVNはJPCERT/CCとIPAが運営する脆弱性情報のポータル。
CVSSは脆弱性の深刻度を評価する規格。自社の事業リスクや更新期限を単独で決める点数ではない。
CVSS v3.1は基本・現状・環境の評価基準。v4.0では基本・脅威・環境に加えて補足的な情報を扱う。情報を読むときはバージョンも確認する。

2. CVSS基本値（Base Score）による深刻度レベルと対応方針

CVSSスコア	深刻度（v3.1／v4.0）	対応を決めるときの確認
9.0〜10.0	Critical（緊急）	対象バージョン、公開範囲、実際の悪用、業務影響を確認
7.0〜8.9	High（高）	スコアだけでなく、認証条件や資産の重要度を確認
4.0〜6.9	Medium（中）	影響範囲と既存の対策を確認
0.1〜3.9	Low（低）	低い点数でも、組合せや利用条件で優先度が変わる
0.0	None（なし）	当該指標での深刻度区分。情報の内容と適用条件を確認

3. 更新と暫定対策を準備する

text

【パッチ適用運用の4ステップ】
1. 影響範囲の特定：
   IT資産管理台帳（ハードウェア・OS・ミドルウェア・バージョン）と脆弱性情報を突合。
2. 検証環境（ステージング環境）でのテスト：
   本番環境と同等のテスト環境でパッチを先行適用し、業務アプリケーションが誤作動・停止しないかを動作確認。
3. ロールバック手順の準備：
   パッチ適用直前にシステムのバックアップ（スナップショット）を取得し、不具合発生時に即座に切り戻せる手順を整備。
4. パッチ適用が即座にできない場合の「暫定緩和策」：
   WAFによるシグネチャ遮断、外部公開ポートの閉塞、不要なサービスプロセスの停止などにより、パッチ適用までの攻撃経路を塞ぐ。

4. 科目B形式オリジナル実戦シナリオ演習

演習1：Critical脆弱性公表時の緊急対応判断

〔背景・企業概要〕A社では、社外公開しているWebサーバのミドルウェアに、CVSSスコア9.8の緊急（Critical）脆弱性が公表された。攻撃コード（PoC）が既にネット上に出回っており、外部から認証なしで管理者権限を奪取される危険がある。

〔設問〕A社の情報セキュリティリーダーが下すべき判断として、最も適切なものはどれか。

ア：パッチ適用には半年の開発期間が必要であるため、来年の夏期定期改修まで何もせず放置する。
イ：本番Webサーバの直近スナップショットバックアップを直ちに取得した上で、検証環境でパッチの動作確認を行い、パッチ適用が完了するまでの間はWAFによる不正リクエスト遮断ルールを即時適用する。
ウ：Webサーバを金槌で叩いて破壊する。
エ：社内の一般従業員全員に、Webサーバのプログラムを各自書き換えるよう指示する。

【正解】：イ
【正解の理由】：Critical脆弱性に対しては、バックアップの確保、検証環境での事前テスト、そしてパッチ適用までの間をしのぐ「暫定緩和策（WAFルールの緊急適用）」を講じるのがプロフェッショナルな標準実務です。
【誤答解説】：アは攻撃被害が不可避。ウ・エは論外の破壊的・非現実的行動です。

演習2：パッチ適用による業務停止トラブルの未然防止

〔背景・企業概要〕B社の情シス担当者Cさんは、本番会計データベースサーバにOSの最新パッチをテストなしでいきなり本番適用したところ、会計ソフトが起動しなくなり、全社の決算業務が丸1日停止してしまった。

〔設問〕Cさんの作業手順における最大の反省点（欠陥）はどれか。

ア：事前の検証環境での動作テストを怠り、かつ適用前のバックアップ（ロールバック手段）の準備を行わずに本番変更を実施したこと。
イ：パッチのダウンロード速度が遅かったこと。
ウ：会計ソフトの購入費用を値切らなかったこと。
エ：パッチ適用作業中にコーヒーを飲んだこと。

正解：ア
根拠：変更前の影響確認と、切り戻せる準備を怠ったことが問題です。緊急時は放置せず、悪用の状況と業務停止のリスクを比較し、緊急変更の手順や一時遮断等を検討します。
確認する点：全ての更新を一律の期限で適用する、あるいはテストが終わるまで何も対策しないという判断ではなく、状況と手順に基づいて対応します。

5. まとめと重要チェックリスト

CVSSの深刻度と、自社での悪用可能性・業務影響を分けて確認する。
資産台帳と対象製品・バージョンを突合する。
更新、切り戻し、暫定的な遮断や機能停止を準備し、適用後も確認する。

出典と仕様を確認する

IPA：情報セキュリティマネジメント試験シラバス Ver.4.1

FIRST：CVSS v4.0の仕様