脆弱性管理

自組織の資産にどのような脆弱性があるかを継続的に把握し、危険度に応じて修正プログラムの適用や回避策を実施する一連の活動。資産目録やSBOMの整備が前提となる。

使用しているOSやソフトウェアの脆弱性情報を継続的に集め、影響を評価して、セキュリティパッチの適用や設定の変更などの対策を計画的に行う活動。対象となるソフトウェアの把握にSBOMを、深刻度の判断にCVSSを使う。

組織が利用するソフトウェアや機器の技術的な脆弱性について、情報の収集、資産の目録との照合による影響の把握、リスクに応じた優先順位付け、修正プログラムの適用や回避策の実施、適用状況の確認を継続的に行う活動。JIS Q 27002の「技術的脆弱性の管理」に当たり、SBOMやCVSSを活用する。

ソフトウェアやOS等の脆弱性を修正するパッチの適用を管理するプロセス。パッチの情報収集、影響評価、テスト、適用、検証を計画的に行い、製品・サービスのセキュアな導入・運用を維持する。

運用中のシステムに対して、セキュリティパッチやアップデートを計画的に適用・管理するプロセス。パッチの公開情報の監視、影響範囲の評価、テスト環境での検証、本番適用、適用後の動作確認までの一連の手順を含む。緊急パッチの即時適用体制も重要となる。

脆弱性情報の収集から対策の実施までの一連のプロセス。脆弱性情報の入手、影響度の評価、優先度の決定、パッチ適用やワークアラウンドの実施、対応状況の記録を含む。脆弱性修正プログラムの適用基準の策定が重要。

資産の把握、修正プログラムの適用、不要なアカウントやサービスの整理といった基本的な衛生管理を継続的に行うという考え方。高度な対策より先に基礎を徹底することで、多くの攻撃を未然に防げるとされる。

サーバや機器の不要なサービス・アカウント・ポートを停止し、設定を安全側に寄せて攻撃対象領域を減らす作業。ハードニングとも呼ばれ、CISベンチマークなどの構成基準を用いて実施する。

ソフトウェアを構成するコンポーネント（ライブラリ、モジュールなど）の一覧情報。ソフトウェアサプライチェーンの透明性を確保し、使用しているコンポーネントの脆弱性を迅速に把握するために活用される。