評価基準 No.4-4-4-1
セキュリティパッチ・アップデートの手続

要求事項 No.4-4-4 セキュリティパッチ・アップデートの手続

情報機器、OS及びソフトウェアへのセキュリティパッチ及びアップデートの適用に係る手続を定めること。

評価基準 No.4-4-4-1（★3）

・情報機器、OS及びソフトウェアについて、以下の状態とすること。

‒ライセンスが付与され、サポートされている。

‒サポートが終了した場合に削除されるか、又はインターネットとの全てのトラフィックを遮断することで適用範囲から削除される。

‒やむを得ず、サポートが終了したものを利用する場合、脆弱性悪用のリスクを低減する対策を実施している。

‒可能であれば、自動アップデートが有効化されている。

対象外となるための条件

該当なし

適合基準（SCS-410）

①システム、情報機器及びソフトウェアを以下に示す全ての状態としていること。

-ライセンスが付与され、サポートされている。

-サポートが終了した場合に削除されるか、又はインターネットとの全てのトラフィックを遮断することで適用範囲から削除される。

-やむを得ず、サポートが終了したものを利用する場合、脆弱性悪用のリスクを低減する対策を実施している。

-可能であれば、自動アップデートが有効化されている。

適合基準（SCS-420）

①システム、情報機器及びソフトウェアを以下に示す全ての状態としていること。

-ライセンスが付与され、サポートされている。

-サポートが終了した場合に削除されるか、又はインターネットとの全てのトラフィックを遮断することで適用範囲から削除される。

-やむを得ず、サポートが終了したものを利用する場合、No.4-4-4-2 の適合基準で求める脆弱性悪用のリスクを低減する対策を実施している。

-可能であれば、自動アップデートが有効化されている。

①バージョン情報、更改計画等を確認し、システム、情報機器及びソフトウェアを以下に示す全ての状態としていることを確認する。

-ライセンスが付与され、サポートされている。

-サポートが終了した場合に削除するか、又はインターネットとの全てのトラフィックを遮断して適用範囲から削除する。

-やむを得ず、サポートが終了したものを利用する場合、脆弱性悪用のリスクを低減する対策を実施している。

-可能であれば、自動アップデートを有効にしている。

▶質問

①システム、情報機器及びソフトウェアのライセンス・サポートの有効化有無、また、有効でない場合の対応方法について質問する。

②自動アップデートの有効化有無を質問する。

▶閲覧

原則として実施しない。

▶観察

①システム、情報機器及びソフトウェアのうち 1 件を抽出し、バージョン情報等がわかる画面を観察し、サポートされていることを確認する。

②サポートされていない場合、No.4-4-4-2 の適合基準で求める脆弱性悪用のリスクを低減する対策が実施されていることを確認する。