評価基準 No.3-2-1-1
脆弱性の管理体制

どのような文書に記載することが考えられるか？

・脆弱性情報対応マニュアル等に記載することが考えられる。

どのように「担当部署の役割・責任」を定めることが考えられるか？

・脆弱性情報・脅威情報に係る対応が以下の流れで実施されることに鑑み、役割・責任を定めることが望ましい。

1.情報の絞込み

多数の脆弱性関連情報から自組織に関連していると思われるソフトウェアの情報を収集する。

2.脆弱性の危険度（深刻度）を確認

ベンダーや脆弱性関連情報データベースで公開している脆弱性関連情報に CVSS の基本値や攻撃状況に関する情報が含まれているかを確認する。

3.自組織への影響を分析

1.及び 2.で収集した情報を元に、該当の脆弱性が自組織のシステムにどの程度の被害を与える可能性があるかを分析する。

4.対策の実施

3.の結果に基づき、パッチ適用の優先順位を定めた上で、対策を講じる。

・役割・責任を定めるに当たり、評価基準 4-4-4-2 を満たすよう留意する必要がある。

・脆弱性情報を収集する担当部署については、基本的には IT 資産を管理する部署で脆弱性情報を収集することが検討の出発点となるが、会社の規模や事業のバリエーションや数によっては、統括部門で一元的に脆弱性情報を収集する方が効率的な場合もある。

参考となる資料はあるか？

・以下の資料が参考となる。

-サイバーセキュリティ体制構築・人材確保の手引き 第 2.0 版（経済産業省・IPA）(https://www.meti.go.jp/policy/netsecurity/tebikihontai2.pdf)

-ISOG-J 脆弱性トリアージガイドライン作成の手引き(https://isog-j.org/output/2024/TriageGuidelines.html)