脆弱性管理とは、使っているソフトや機器を把握し、弱点の情報を集め、対応の要否を判断して、計画、検証、適用まで回す取り組みです。すべてをすぐ直すことはできないので、悪用の有無と機器の重要度から順番を決めます。
今日やることは、外から届く機器を5つ書き出すことです。VPN機器、ファイアウォール、メール、Webサーバー、リモート接続の機器が候補です。製品名、バージョン、保守会社、最後に更新した日を並べます。これだけで、更新情報が出たときに自社が該当するかをすぐ答えられるようになります。
脆弱性管理では何をする？
経済産業省のASM導入ガイダンス（2023年）は、IPAの「脆弱性対策の効果的な進め方（ツール活用編）」を参考に、次の流れを示しています。
| 段階 |
やること |
| 対象の把握 |
使っているソフトと機器を把握する |
| 情報の収集 |
新しいバージョンや脆弱性の情報を集める |
| 適用の判断 |
影響と緊急度を見て、対応の要否を決める |
| 計画 |
必要なものの修正作業を計画する |
| 検証 |
検証環境で試し、本番に適用できるかを判断する |
| 適用 |
修正作業を行う |
同じガイダンスの注記では、把握する対象にVPN装置や複合機のファームウェアも含めています。PCのOSだけを見ていると抜ける部分です。
兼任の担当者がつまずくのは「適用の判断」です。IPAの情報セキュリティ10大脅威2026の組織編では、システムの脆弱性を悪用した攻撃が4位に入っています。一方で情報は毎日出ます。JPCERT/CCの2026年の注意喚起一覧だけでも、広く使われる製品の案件が並びます。判断の基準を先に決めておかないと、一件ごとに悩むことになります。
なぜ点数の高い順に直さない？
点数は「弱点そのものの深刻さ」を示すもので、「自社が攻撃される可能性」までは示さないからです。CVSSを管理するFIRSTのCVSS v4.0ユーザーガイドは、基本値は深刻度を測るもので、リスクの評価に単独で使うべきではないと説明しています。脅威の情報と環境の分析で補うよう書かれています。
経済産業省のガイダンスも、CVSSが高くても悪用行為が確認されていなければ、点数どおりの優先度にならない場合があるとしています。判断の材料には、攻撃の受けやすさと自社のIT資産の重要度を挙げています。
米国では同じ考え方が政府の命令になりました。CISAのBOD 26-04（2026年6月10日）は、連邦機関に対し、弱点をすべて同じに扱うのではなく、リスクの高いものに対応を集中するよう求めています。判断に使う問いは4つです。
- その機器は外部に公開されているか
- 悪用が確認された脆弱性の一覧に載っているか
- 攻撃の工程をすべて自動化できるか
- 悪用されたとき、機器をどこまで操作されるか
米国の連邦機関向けの命令なので、日本の民間企業に義務はありません。考え方を借りるための資料です。
更新の順番はどう決める？
兼任の担当者が毎週使えるように、問いを3つに絞ります。公的な基準ではなく、上の資料をもとに私たちが整理した順番です。
更新の順番を決める3つの問い
- 悪用が確認されているか
- インターネットから届く機器か
- その機器が止まると、業務の何が止まるか
答えを次の表に当てはめます。期限は目安の例で、公的に決まった日数ではありません。自社の保守契約に合わせて決めます。
| 順番 |
条件 |
動き方の例 |
| 1 |
悪用あり、外から届く |
その日に保守会社へ連絡。すぐ直せなければ公開を止められるか相談 |
| 2 |
悪用あり、社内の機器。または悪用なし、外から届く重要な機器 |
次の定期更新を待たずに予定を入れる |
| 3 |
悪用なし、外から届くそのほかの機器。または社内の重要な機器 |
月の定期更新に入れる |
| 4 |
悪用なし、社内のそのほかの機器 |
定期更新にまとめ、記録を残す |
ガイダンスも、対応は被害の大きさと修正にかかるコストを考慮して決めるとしています。パッチを当てる場合と、対策を見送ってリスクを受け入れる場合の両方があります。見送るなら、決めた人と理由と日付を残します。これがないと、判断した結果なのか、忘れていたのかが後からわかりません。
判断に迷ったときの追加の材料として、EPSSがあります。公開済みのCVEが今後30日以内に悪用される確率を推定するもので、毎日更新され、無料で公開されています。確率なので、低くても攻撃されないという意味ではありません。
悪用の情報はどこで確かめる？
見る場所を3つに決めて、週に1回まとめて確かめる形にします。
KEVはCISAが確認したものの一覧です。載っていないから悪用されていない、とは言えません。CISAも、管理の優先順位付けの入力の1つとして使うよう書いています。
JVN iPediaは停止中（2026年11月時点）
IPAのJVN iPediaとMyJVNは、2026年11月6日の更新時点でサービス停止中です。11月中に再開の見込みと案内されています。データフィードの一部は暫定的に再開しました。普段の手順に組み込んでいる場合は、再開まで上の3つで補います。
保守会社がいる場合は、自社で読み込むより「この製品が該当したら連絡がもらえるか」を契約で確かめるほうが確実です。受け持つ範囲に、機器のファームウェアが入っているかも見ます。
製造業で直せない機器はどう扱う？
たとえば、検査装置に古いWindowsが入っていて、装置のメーカーが更新を認めていない場合を考えます。パッチを当てられないからといって、対応なしと記録するのは避けます。
工場の機器が事務のPCと同じ速さで更新できないのは、公的な資料にも書かれています。NIST SP 800-82 第3版（2023年）は、OTの更新はメーカーと利用者の双方が十分に試験する必要があり、停止は数日から数週間前に計画すると説明しています。寿命が20年を超えることもあり、サポートが切れて更新できない機器があるとも書いています。
この場合の順番は次のとおりです。
- 持ち主を決める：生産技術、設備保全、情シスのどこが判断するかを書く
- つながりを確かめる：社内ネットワーク、インターネット、遠隔保守のどれとつながっているかを書く
- 代わりの対策を決める：IPAの事例集（2026年3月）は、やむを得ず古いシステムを使い続ける場合にネットワークを隔離することを挙げています
- 次に止められる時期を設備メーカーと決める：定期修理に合わせて検討する
- 買い替えの時期を経営に伝える：設備の更新計画に、ソフトのサポート期限も入れる
順番付けの表では、外とつながっていない装置は下位に置けます。ただし、接続の有無を確かめた日を記録します。保守や検査データの持ち出しのために、いつの間にか接続されていることがあるからです。
毎週の運用はどのくらいの手間にする？
続けられる形は、週30分の枠と1枚の表です。時間は一例で、機器の数に合わせて決めます。IPAのテクニカルウォッチの補助資料には、「ソフトウェア脆弱性関連情報管理シート」が公開されています。ゼロから作らず、これを元にできます。
- 表の列：機器やソフト、バージョン、持ち主、外から届くか、重要度、最後の更新日、次の予定
- 週の確認：3つの情報源を見て、表の製品に該当するものだけ順番を付ける
- 月の報告：順番1と2の残り、見送ったものと理由を社長か責任者に伝える
台帳に載っていないものは、この仕組みでは守れません。外に出ている資産の抜けは、ASMの仕組みと始める手順で確かめられます。台帳の中身が本当に直っているかは、脆弱性診断ツールとサービスの使い分けを参考に、定期の検査で確かめます。診断全体の位置づけはセキュリティ診断のカテゴリにまとめています。
ツールはいつ検討する？
手作業の表が回り始め、機器の数や情報量に追いつかなくなったときが検討の目安です。表がない段階でツールを入れると、結果を受け取る人も、順番の基準もないまま一覧だけが増えます。
候補を比べるときは3つを見ます。
- 資産の情報をどう集めるか：ネットワークから調べるのか、PCやサーバーにエージェントを入れるのか
- 順番の根拠は何か：CVSSのほかに、悪用の情報と機器の重要度を使えるか
- 誰に通知できるか：保守会社や他部門の対応まで記録できるか
資産の把握から始めるならIT資産管理ツールの比較、順番付けと対応の追跡まで求めるなら脆弱性管理ツールの比較が入口になります。外部公開の資産を重点的に見たいならASMの比較も並べます。
直したあとに確かめることは？
適用が済んだら、バージョンが変わったことを確かめて表を更新します。経済産業省のガイダンスによれば、パッチの適用前後でバージョン番号が変わらない機器もあります。その場合は、製造元の確認手順に沿います。
更新だけで終わらない場合もあります。米国のBOD 26-04は、一部の区分で修正に加えて侵害の有無の確認を求めています。不審な挙動やログに気づいたら、自社だけで判断せず保守会社や専門の窓口に相談します。修正の確認を重要なシステムに対して第三者に頼むなら、ペネトレーションテストと脆弱性診断の違いから選び方を確かめられます。
