パッチ管理

OSやソフトウェアの修正プログラムを、適用対象の把握から検証・適用・確認まで計画的に管理すること。脆弱性の放置と、適用による障害の双方を防ぐ。

ソースコードや文書の変更履歴を記録し、過去の状態への復元や複数人の並行作業の統合を支援するツール。Gitが代表例で、分岐と併合により機能ごとの並行開発を安全に進められる。

ソフトウェアに含まれる部品（OSSやライブラリ）とその版を一覧にした構成表。脆弱性が公表されたときに、影響を受ける製品を素早く特定でき、供給網全体の安全確保に役立つ。

構成管理の対象として個別に識別・管理する要素。CIと略す。ハードウェア、ソフトウェア、文書、契約などが該当し、その情報と相互関係をCMDBに登録して管理する。

使用しているOSやソフトウェアの脆弱性情報を継続的に集め、影響を評価して、セキュリティパッチの適用や設定の変更などの対策を計画的に行う活動。対象となるソフトウェアの把握にSBOMを、深刻度の判断にCVSSを使う。

ソフトウェアに見つかった脆弱性を修正するために、開発元が提供する修正プログラム。公開された脆弱性はすぐに攻撃に悪用されやすいため、業務への影響を確かめたうえで速やかに適用する。修正プログラムが提供される前に脆弱性を突く攻撃をゼロデイ攻撃という。

正式にレビューされ承認された構成品目の基準となるバージョン。以降の変更はすべて変更管理プロセスを通じて管理される。プロジェクトの各フェーズの完了時にベースラインを設定することで、品質と整合性を確保する。