脆弱性ハンドリング

ソフトウェアやOS等の脆弱性を修正するパッチの適用を管理するプロセス。パッチの情報収集、影響評価、テスト、適用、検証を計画的に行い、製品・サービスのセキュアな導入・運用を維持する。

運用中のシステムに対して、セキュリティパッチやアップデートを計画的に適用・管理するプロセス。パッチの公開情報の監視、影響範囲の評価、テスト環境での検証、本番適用、適用後の動作確認までの一連の手順を含む。緊急パッチの即時適用体制も重要となる。

自組織の資産構成を把握したうえで脆弱性情報を収集し、影響度を評価して修正プログラムの適用や緩和策を計画的に実施する一連の活動。SBOMやソフトウェア構成分析を用いて依存関係まで含めて把握する。

脆弱性を修正するために提供される更新プログラム。ネットワーク機器では適用に再起動や通信断を伴うため、影響範囲の確認と作業時間帯の調整、切り戻し手順の準備が必要となる。

リスクを発見、認識及び記述するプロセス。リスク源、事象、それらの原因及び起こり得る結果の特定を含む。情報資産の洗い出しと、それらに対する脅威・脆弱性の特定を行う。

リスクの性質を理解し、リスクレベルを決定するプロセス。定性的分析と定量的分析の手法があり、脅威の発生可能性と影響度からリスクの大きさを算定する。