--- title: "脆弱性の管理とアップデートの進め方｜AI-Ready.jp" url: https://www.ai-ready.jp/guide/vulnerability-management/ description: "脆弱性の管理は、使っている機器とソフトウェアの一覧をつくり、修正の情報を集め、悪用が確認されたものや外部に公開している機器から優先して更新し、適用できたかを確かめる流れをくり返すことで進めやすくなります。" updated: 2026-11-12 publisher: "フロレンティナ株式会社" --- 広げる[柱：基盤とセキュリティ](https://www.ai-ready.jp/about-ai-ready/infrastructure-security/) # 脆弱性の管理とアップデートの進め方 執筆：[石田誠](https://www.ai-ready.jp/about/authors/#ishida)更新 2026-11-12最終確認 2026-11-12出典 5件[図解 2点](https://www.ai-ready.jp/zukai/) この記事の結論 脆弱性の管理は、使っている機器とソフトウェアの一覧をつくり、修正の情報を集め、悪用が確認されたものや外部に公開している機器から優先して更新し、適用できたかを確かめる流れをくり返すことで進めやすくなります。 自社の「基盤とセキュリティ」の準備度は？[10問・約3分で確かめる（無料・登録不要）](https://www.ai-ready.jp/diagnosis/quick/) 脆弱性とは、ソフトウェアや機器にある、攻撃に悪用されうる弱点のことです。提供元は弱点を見つけると修正プログラム（パッチ）を出しますが、会社の側で適用しなければ弱点は残ります。この記事では、IPA（情報処理推進機構）などの公的な資料をもとに、無理なく続けられる脆弱性の管理の進め方をまとめます。 この記事でわかること - 脆弱性の管理が、なぜ会社の基本の対策になるのか - 一覧づくりから適用の確認までの手順 - 限られた人手で、どこから手をつけるかの決め方 ## なぜ、脆弱性の管理が大切なのですか？ IPAの「情報セキュリティ10大脅威 2026」では、組織向けの4位に「システムの脆弱性を悪用した攻撃」が入っています。弱点が残ったままの機器やソフトウェアは、攻撃の入口になりえます。 IPAの「中小企業の情報セキュリティ対策ガイドライン」は、まず取り組む「情報セキュリティ6か条」の1つ目に、OSやソフトウェアを常に最新の状態にすることを挙げています。解説編では、提供元の修正プログラムを適用すること、ブラウザなどを最新の版にすること、サポートのあるOS・ソフトウェア・ネットワーク機器を使うことが示されています。 **サポートが終わった製品には修正プログラムが出ないため、弱点が残り続けます。** 更新だけでなく、買い替えの計画も脆弱性の管理に含まれます。 ## 脆弱性の管理は、どのような流れで進めますか？ 次の5つの手順をくり返すと、抜けが少なくなります。 ① **使っているものを一覧にします。** パソコン、サーバー、ネットワーク機器（ルーター・VPN装置など）、複合機、業務用のソフトウェア、クラウドサービスを書き出します。製品名、版、担当者、サポートの終わる時期、外部から接続できるかを記録します。IPAのガイドラインの付録には、資産管理台帳のサンプルがあります。 ② **修正の情報を集めます。** 提供元のお知らせ、公的機関の注意喚起を確かめます。IPAの6か条の解説編は、パソコンのソフトウェアの版を確かめる道具として「MyJVNバージョンチェッカ」を紹介しています。 ③ **優先順位を決めます。** 次の節の目安で、急ぐものとそうでないものを分けます。 ④ **適用します。** 重要なシステムは、業務への影響を確かめてから適用します。すぐに適用できないときは、提供元が示す回避策を実施します。 ⑤ **適用できたかを確かめます。** 一覧の版を更新し、更新に失敗した端末や、電源が入っていなかった端末が残っていないかを確かめます。 脆弱性の管理は5つの手順をくり返します - **一覧にする**：機器・ソフトウェア・クラウドサービスの製品名、版、担当者、サポートの終わる時期、外部から接続できるか - **修正の情報を集める**：提供元のお知らせ、公的機関の注意喚起を確かめる - **優先順位を決める**：急ぐものとそうでないものを分ける - **適用する**：重要なシステムは影響を確かめてから。すぐできないときは**回避策** - **確かめる**：一覧の版を更新し、更新に失敗した端末が残っていないか見る ## どの脆弱性から対応すればよいですか？ すべてを同時に直すのは難しいため、優先順位をつけます。参考になる考え方が2つあります。 ### 深刻度の目安（CVSS） CVSS（共通脆弱性評価システム）は、脆弱性の深刻度を0.0〜10.0の数値で表す共通の物差しです。IPAの資料では、CVSSv3の基本値で9.0〜10.0を「緊急」、7.0〜8.9を「重要」、4.0〜6.9を「警告」、0.1〜3.9を「注意」としています。 ただし、基本値は脆弱性そのものの性質を表すもので、自社の使い方は反映していません。CVSSには、利用する環境やシステムの重要度を加味して評価し直す考え方（環境評価基準）もあります。 ### 実際に悪用されているか 米国のサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、実際に悪用が確認された脆弱性の一覧（Known Exploited Vulnerabilities Catalog）を公開しています。CISAは、民間の組織にもこの一覧を優先順位づけの材料に使い、掲載された脆弱性にすみやかに対応することを勧めています。 この2つと自社の事情をあわせると、次のように分けられます。 | 状況 | 扱いの目安 | |---|---| | 悪用が確認されている、または外部から接続できる機器の深刻な脆弱性 | すぐに対応する。修正がなければ回避策をとる | | 深刻度は高いが、社内からしか使わない | 計画を立てて早めに対応する | | 深刻度が低い | 定期の更新でまとめて対応する | 優先順位の目安 - **悪用が確認されている／外部から接続できる機器の深刻な脆弱性**：**すぐに対応**する。修正がなければ回避策をとる - **深刻度は高いが、社内からしか使わない**：計画を立てて早めに対応する - **深刻度が低い**：定期の更新でまとめて対応する CVSSの基本値は脆弱性そのものの性質を表すもので、自社の使い方は反映していません。実際に悪用されているかと自社の事情をあわせて決めます。 **外部から接続できる機器（VPN装置、公開しているWebサイト、リモート接続の仕組みなど）は、攻撃者から見つけられやすい場所です。** 一覧の中で印をつけておくと、優先順位を決めやすくなります。IPAのガイドラインの第4.0版では、自社診断の項目に「外部から内部ネットワークへの不要な通信を遮断する」と「ウェブサイトを安全に運用する」が加わっています。 読みながら、自社の現在地を確かめませんか クイック診断は10問・約3分・登録不要です。7つの柱ごとの目安と、「基盤とセキュリティ」を含めて次に取り組むことがわかります。 [無料で診断する](https://www.ai-ready.jp/diagnosis/quick/)[結果の解説（30分・無料）](https://www.ai-ready.jp/consult/review/) ## サポートの終わる製品は、どう扱えばよいですか？ CISAは、連邦政府の機関に対して、サポートが終了した製品や更新できない製品はネットワークから取り除くよう求め、ほかの組織にも同じ対応を強く勧めています。次の手順で進めます。 ① 一覧にサポートの終わる時期を書いておき、目安として1年ほど前には把握します。 ② 買い替えや移行の費用を、年度の予算に入れます。 ③ すぐに替えられない場合は、外部から接続できないようにする、使う人を限るなど、影響を抑えます。 ## クラウドサービスやAIツールの更新は、誰が行うのですか？ クラウドサービスでは、提供元がサーバーやソフトウェアを更新する部分が多くなります。それでも、会社の側で使う端末、ブラウザ、連携のための部品、設定の見直しは残ります。利用している契約で、どこまでを提供元が担うかを確かめておきます。 社内にAIの仕組みを組み込んでいる場合は、使っているライブラリ（部品）やモデルの版も一覧に含めます。 ## 体制はどう決めればよいですか？ 担当者が一人で抱えると、休みや異動で止まります。次の点を決めておきます。 - 一覧を持つ人と、更新を確かめる頻度（例：月に1回） - 急ぐ脆弱性が出たときに、誰が判断し、誰が適用するか - 更新で業務に影響が出たときに、元に戻す手順 - 外部の保守会社に任せている機器は、契約で更新の範囲と連絡の方法 ## チェックリスト ## 関連するひな形・ガイド・用語 ひな形 - [セキュリティの自己点検表](https://www.ai-ready.jp/templates/security-self-check/) ガイド - [中小企業のセキュリティ対策の始め方（SECURITY ACTION）](https://www.ai-ready.jp/guide/security-action-sme/) - [ランサムウェアへの備え](https://www.ai-ready.jp/guide/ransomware-preparedness/) - [クラウドを安全に使うための基本](https://www.ai-ready.jp/guide/cloud-security-basics/) - [SaaSの管理と棚卸しの進め方](https://www.ai-ready.jp/guide/saas-management/) - [セキュリティ事故が起きたときの対応の手順](https://www.ai-ready.jp/guide/security-incident-response/) - [取引先を含めたサプライチェーンのセキュリティ：委託先・取引先・ソフトウェアの備え](https://www.ai-ready.jp/guide/supply-chain-security/) 用語 - [脆弱性](https://www.ai-ready.jp/glossary/vulnerability/) - [パッチ管理](https://www.ai-ready.jp/glossary/patch-management/) - [脆弱性診断](https://www.ai-ready.jp/glossary/vulnerability-assessment/) - [IT資産管理](https://www.ai-ready.jp/glossary/it-asset-management/) ## よくあるご質問 Q自動更新をオンにしておけば、脆弱性の管理は十分ですか？ A自動更新は大きな助けになりますが、それだけでは足りない場合があります。ネットワーク機器や業務用のソフトウェアなど自動で更新されないもの、サポートが終わって修正が出ないもの、更新に失敗しているものが残ることがあるためです。一覧と照らして、更新できているかを確かめる手順を組み合わせます。 Q修正プログラムがまだ出ていない脆弱性は、どうすればよいですか？ A製品の提供元が示す回避策（設定の変更や機能の停止など）を確かめて実施します。米国のCISAも、修正がない場合でも回避策をとることが、そのままにしておくより望ましいとしています。修正が出たら、すみやかに適用します。 QCVSSの点数が高い順に対応すればよいですか？ ACVSSは脆弱性そのものの深刻度の目安で、自社の使い方までは反映していません。実際に悪用が確認されているか、外部から接続できる機器か、重要な情報を扱うかもあわせて、優先順位を決めます。 ## この記事に出てくる用語 - [脆弱性](https://www.ai-ready.jp/glossary/vulnerability/) - [VPN](https://www.ai-ready.jp/glossary/vpn/) - [モデル](https://www.ai-ready.jp/glossary/model/) - [ランサムウェア](https://www.ai-ready.jp/glossary/ransomware/) - [クラウド](https://www.ai-ready.jp/glossary/cloud/) - [パッチ管理](https://www.ai-ready.jp/glossary/patch-management/) - [IT資産管理](https://www.ai-ready.jp/glossary/it-asset-management/) - [脆弱性診断](https://www.ai-ready.jp/glossary/vulnerability-assessment/) ## 「基盤とセキュリティ」のほかの記事 [この柱の解説 →](https://www.ai-ready.jp/about-ai-ready/infrastructure-security/) [広げる／基盤とセキュリティAIと社内システムをAPIでつなぐ基本：仕組み・手順・安全の確かめ方石田誠2026-11-12](https://www.ai-ready.jp/guide/api-integration-basics/)[広げる／基盤とセキュリティAIのセキュリティの基本：AIへの攻撃とAIを使った攻撃への備え石田誠2026-10-26](https://www.ai-ready.jp/guide/ai-security-basics/)[定着させる／基盤とセキュリティAIの運用（MLOps・LLMOps）の基本：作った後に品質を保ち続ける仕組み石田誠2026-11-12](https://www.ai-ready.jp/guide/mlops-llmops-basics/) ## 出典 1. [独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン」](https://www.ipa.go.jp/security/guide/sme/about.html) 2. [IPA「情報セキュリティ6か条」解説編](https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/jouhousecurity6kajou(kaisetsuhen)_r16.pdf) 3. [IPA セミナー資料「CVSSv3を利用した影響分析」（2024年）](https://www.ipa.go.jp/security/seminar/vuln/nq6ept000000fwv1-att/SCAP_2024-3.pdf) 4. [CISA「Known Exploited Vulnerabilities Catalog」](https://cisa.gov/known-exploited-vulnerabilities) 5. [IPA「情報セキュリティ10大脅威 2026」（プレスリリース、2026年1月29日）](https://www.ipa.go.jp/pressrelease/2025/press20260129.html) 最終確認日：2026-11-12 ## 次の一歩 [測るAI-Ready診断（無料）いまの準備状況を、7つの柱で確かめられます。](https://www.ai-ready.jp/diagnosis/) [相談する結果の解説（30分・無料）診断の結果をもとに、オンラインでご説明します。](https://www.ai-ready.jp/consult/review/) [窓口ご相談のお申し込み経営・M&A・事業承継・上場・バリューアップはフロレンティナ、AIの導入・開発・データ・セキュリティ・研修はアメリア・テクノロジーがお受けします。](https://www.ai-ready.jp/consult/apply/) 目次 1. なぜ、脆弱性の管理が大切なのですか？ 2. 脆弱性の管理は、どのような流れで進めますか？ 3. どの脆弱性から対応すればよいですか？ 4. サポートの終わる製品は、どう扱えばよいですか？ 5. クラウドサービスやAIツールの更新は、誰が行うのですか？ 6. 体制はどう決めればよいですか？ 7. チェックリスト 8. よくあるご質問 この記事が扱う柱 主に「基盤とセキュリティ」 [基盤とセキュリティの解説](https://www.ai-ready.jp/about-ai-ready/infrastructure-security/) 自社の準備度を確かめる 10問・約3分・登録不要。7つの柱ごとの目安がわかります。 [無料で診断する](https://www.ai-ready.jp/diagnosis/quick/) --- 出典：フロレンティナ株式会社「脆弱性の管理とアップデートの進め方｜AI-Ready.jp」 https://www.ai-ready.jp/guide/vulnerability-management/