脆弱性の管理とアップデートの進め方

自社の「基盤とセキュリティ」の準備度は？10問・約3分で確かめる（無料・登録不要）

脆弱性とは、ソフトウェアや機器にある、攻撃に悪用されうる弱点のことです。提供元は弱点を見つけると修正プログラム（パッチ）を出しますが、会社の側で適用しなければ弱点は残ります。この記事では、IPA（情報処理推進機構）などの公的な資料をもとに、無理なく続けられる脆弱性の管理の進め方をまとめます。

なぜ、脆弱性の管理が大切なのですか？

IPAの「情報セキュリティ10大脅威 2026」では、組織向けの4位に「システムの脆弱性を悪用した攻撃」が入っています。弱点が残ったままの機器やソフトウェアは、攻撃の入口になりえます。

IPAの「中小企業の情報セキュリティ対策ガイドライン」は、まず取り組む「情報セキュリティ6か条」の1つ目に、OSやソフトウェアを常に最新の状態にすることを挙げています。解説編では、提供元の修正プログラムを適用すること、ブラウザなどを最新の版にすること、サポートのあるOS・ソフトウェア・ネットワーク機器を使うことが示されています。

サポートが終わった製品には修正プログラムが出ないため、弱点が残り続けます。 更新だけでなく、買い替えの計画も脆弱性の管理に含まれます。

脆弱性の管理は、どのような流れで進めますか？

次の5つの手順をくり返すと、抜けが少なくなります。

① 使っているものを一覧にします。 パソコン、サーバー、ネットワーク機器（ルーター・VPN装置など）、複合機、業務用のソフトウェア、クラウドサービスを書き出します。製品名、版、担当者、サポートの終わる時期、外部から接続できるかを記録します。IPAのガイドラインの付録には、資産管理台帳のサンプルがあります。

② 修正の情報を集めます。 提供元のお知らせ、公的機関の注意喚起を確かめます。IPAの6か条の解説編は、パソコンのソフトウェアの版を確かめる道具として「MyJVNバージョンチェッカ」を紹介しています。

③ 優先順位を決めます。 次の節の目安で、急ぐものとそうでないものを分けます。

④ 適用します。 重要なシステムは、業務への影響を確かめてから適用します。すぐに適用できないときは、提供元が示す回避策を実施します。

⑤ 適用できたかを確かめます。 一覧の版を更新し、更新に失敗した端末や、電源が入っていなかった端末が残っていないかを確かめます。

どの脆弱性から対応すればよいですか？

すべてを同時に直すのは難しいため、優先順位をつけます。参考になる考え方が2つあります。

深刻度の目安（CVSS）

CVSS（共通脆弱性評価システム）は、脆弱性の深刻度を0.0〜10.0の数値で表す共通の物差しです。IPAの資料では、CVSSv3の基本値で9.0〜10.0を「緊急」、7.0〜8.9を「重要」、4.0〜6.9を「警告」、0.1〜3.9を「注意」としています。

ただし、基本値は脆弱性そのものの性質を表すもので、自社の使い方は反映していません。CVSSには、利用する環境やシステムの重要度を加味して評価し直す考え方（環境評価基準）もあります。

実際に悪用されているか

米国のサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、実際に悪用が確認された脆弱性の一覧（Known Exploited Vulnerabilities Catalog）を公開しています。CISAは、民間の組織にもこの一覧を優先順位づけの材料に使い、掲載された脆弱性にすみやかに対応することを勧めています。

この2つと自社の事情をあわせると、次のように分けられます。

外部から接続できる機器（VPN装置、公開しているWebサイト、リモート接続の仕組みなど）は、攻撃者から見つけられやすい場所です。 一覧の中で印をつけておくと、優先順位を決めやすくなります。IPAのガイドラインの第4.0版では、自社診断の項目に「外部から内部ネットワークへの不要な通信を遮断する」と「ウェブサイトを安全に運用する」が加わっています。

サポートの終わる製品は、どう扱えばよいですか？

CISAは、連邦政府の機関に対して、サポートが終了した製品や更新できない製品はネットワークから取り除くよう求め、ほかの組織にも同じ対応を強く勧めています。次の手順で進めます。

① 一覧にサポートの終わる時期を書いておき、目安として1年ほど前には把握します。
② 買い替えや移行の費用を、年度の予算に入れます。
③ すぐに替えられない場合は、外部から接続できないようにする、使う人を限るなど、影響を抑えます。

クラウドサービスやAIツールの更新は、誰が行うのですか？

クラウドサービスでは、提供元がサーバーやソフトウェアを更新する部分が多くなります。それでも、会社の側で使う端末、ブラウザ、連携のための部品、設定の見直しは残ります。利用している契約で、どこまでを提供元が担うかを確かめておきます。

社内にAIの仕組みを組み込んでいる場合は、使っているライブラリ（部品）やモデルの版も一覧に含めます。

体制はどう決めればよいですか？

担当者が一人で抱えると、休みや異動で止まります。次の点を決めておきます。

• 一覧を持つ人と、更新を確かめる頻度（例：月に1回）
• 急ぐ脆弱性が出たときに、誰が判断し、誰が適用するか
• 更新で業務に影響が出たときに、元に戻す手順
• 外部の保守会社に任せている機器は、契約で更新の範囲と連絡の方法

チェックリスト

• パソコン・サーバー・ネットワーク機器・ソフトウェア・クラウドサービスの一覧がある
• 一覧に版、担当者、サポートの終わる時期、外部から接続できるかを書いている
• 提供元のお知らせと公的機関の注意喚起を確かめる担当と頻度を決めている
• OSとソフトウェアの自動更新を、使える範囲で有効にしている
• 悪用が確認された脆弱性や、外部に公開している機器を優先して対応している
• 修正がないときは、提供元が示す回避策を確かめて実施している
• 更新できたかを一覧と照らして確かめている
• サポートの終わる製品の買い替え・移行を計画している
• 外部の保守会社との契約で、更新の範囲と連絡の方法を決めている