情報セキュリティ監査・法務・先端技術監査重要度:★★★出題: AM2・PM1・PM2

脆弱性管理・セキュリティパッチ適用の監査

ぜいじゃくせいかんりせきゅりてぃぱっちてきようのかんさ / Vulnerability and Security Patch Management Audit

OS、ミドルウェア、フレームワーク、ネットワーク機器等の脆弱性情報を適時に収集し、影響を受ける自社システムを特定して、リスクに応じた優先順位でセキュリティパッチ適用や回避策を実施しているかを検証する監査です。

3行速習ポイント

OS、ミドルウェア、フレームワーク、ネットワーク機器等の脆弱性情報を適時に収集し、影響を受ける自社システムを特定して、リスクに応じた優先順位でセキュリティパッチ適用や回避策を実施しているかを検証する監査です。
令和6年問3で丸ごと1問出題された重要テーマであり、構成管理台帳（ソフトウェア一覧）の最新性と、即時適用困難な場合の緩和策（WAF適用等）が焦点となります。
試験対策：午後I（令和6年問3、令和4年問3等）で直撃するテーマです。「情報収集→影響システム特定→適用計画・事前検証→本番適用と結果確認」の一連のフローを監査します。

図解

図脆弱性管理・セキュリティパッチ適用プロセスにおける4段階の監査要点プロセス・手順フロー

情報収集・対象特定からリスク評価・パッチ適用（または緩和策）まで

▶ 進行順序：1. 情報収集➔2. 対象特定➔3. 検証・緩和策➔4. 完了突合・更新

11. 脆弱性情報の網羅的収集とトリアージ

情報収集

ベンダ・JPCERT/CC等からの情報収集と深刻度（CVSS）評価

自社の全利用ソフトウェア（OS・ミドルウェア・OSSライブラリ）に関する脆弱性情報の収集源と担当者が明確であり、日々確認されているかを検証する。

22. 構成管理台帳（CMDB）との突合による対象特定の完全性

対象特定

バージョン番号まで正確な資産台帳に基づく該当機器の洗い出し

最新の構成管理台帳（またはインベントリスキャン結果）と脆弱性情報を突合し、該当バージョンが稼働する全システムが漏れなく特定されているか確認する。

33. 事前動作検証と代替緩和策（即時適用困難時）の実装

検証・緩和策

業務アプリへの影響確認と、適用までの間のWAF・アクセス制限

テスト環境でのパッチ動作確認記録を査閲し、再起動制約等で即時適用できない場合にWAFシグネチャ適用等の緩和策が講じられているか確認する。

44. 本番適用結果の突合と構成管理台帳の更新

完了突合・更新

実機バージョン・スキャン結果による適用完了確認と台帳反映

パッチ適用完了報告だけでなく、実機のバージョン情報や脆弱性診断スキャン結果と突合して適用漏れがないことを確かめ、構成管理台帳の更新を確認する。

💡 午後I令和6年問3では、各部門が個別にシステムを管理している環境での「脆弱性情報の収集漏れ」「構成情報の把握漏れ」「適用状況の追跡漏れ」が問われました。

概要と本質

OS、ミドルウェア、フレームワーク、ネットワーク機器等の脆弱性情報を適時に収集し、影響を受ける自社システムを特定して、リスクに応じた優先順位でセキュリティパッチ適用や回避策を実施しているかを検証する監査です。令和6年問3で丸ごと1問出題された重要テーマであり、構成管理台帳（ソフトウェア一覧）の最新性と、即時適用困難な場合の緩和策（WAF適用等）が焦点となります。