評価基準 No.4-4-4-2
セキュリティパッチ・アップデートの手続

「アップデートプログラムがリリースされてから 14 日以内」のアップデート実施に際して、どのような方法が許容され得るのか？

・評価基準 No.4-4-4-2 では、CVSS の基本値が 7.0 以上等の脆弱性について、原則として 14 日以内にアップデートすることを求めている。一方で、近時公開されている脆弱性情報の量やそれらへの対応にあたりシステムの稼働に関して生じ得る影響等を踏まえると、該当するすべての脆弱性に対して期限内に対応することが現実的に難しいことも想定される。

・他方、CVSS の基本値で「重大」や「高リスク」と判定された脆弱性のうち、実際に悪用される脆弱性は非常に限られているという報告²⁴もある。そのような状況を踏まえると、CVSS の基本値等だけでなく脆弱性悪用状況等の情報も加味することで、本基準の対象となる脆弱性のうちより緊急度が高いものを特定し、優先的に期限内の対応を行う運用が、より効率的かつ効果的なアプローチとして許容され得るものと考えられる。

・本基準の対象となる脆弱性のうちより対応の緊急度が高いものの特定に当たっては、以下に例示する国内外の公的機関等が発出する情報源のいずれか又は複数を参照することが考えられる。

-IPA「重要なセキュリティ情報」(https://www.ipa.go.jp/security/security-alert/index.html)

-JPCERT/CC「注意喚起」(https://www.jpcert.or.jp/at/2026.html)

-CISA「KEV Catalog」(https://www.cisa.gov/known-exploited-vulnerabilities-catalog)

-ENISA「European Union Vulnerability Database」(https://euvd.enisa.europa.eu/) 等

・なお、CVSS の基本値が 7.0 以上でありかつ、情報公開時点で攻撃が観測されている又はその蓋然性が高いと考えられるために上記情報源に掲載された脆弱性については、対象機器のインターネットへの露出状況などに関わらず、14 日以内にアップデートプログラムを適用しなければならない。この場合、14 日に拘らず、さらに短い期間で対応することを検討することが推奨される。

・他方、CVSS の基本値が 7.0 未満だが、重大な事案において悪用が確認されている脆弱性も存在する。本評価基準においては CVSS の基本値が 7.0 以上という条件を対象の絞り込みに際して課しているが、これは CVSS の基本値が 7.0 未満であるものに対応する必要がないということを意味しない。特に、VPN 機器等のインターネットとの境界に設置されているネットワーク機器等の OS 及びファームウェアについては、CVSS の基本値が 7.0 未満であったとしても、ベンダー・IPA・JPCERT/CC・CISA KEV 等で「攻撃可能性・悪用確認」とされた脆弱性を修正するアップデートを可及的速やかに行うことを強く推奨する。

・上述の情報源における脆弱性情報の公開が、アップデートプログラムのリリースから起算して 14 日よりも後になされる可能性もあるところ、当該脆弱性を 14 日以内のアップデート実施対象に含める必要は必ずしもないと考えられるが、後述する対応計画における対応期限をより短く設定し直すなど、適切な対応を行うことが望ましい。

・また、優先度判定の結果として、対応期限を 15 日又はそれよりも長い期間で設定する場合、必然的に当該脆弱性を悪用したインシデント発生のリスクも高まることから、要求事項 No.6-1-1 等で定めるインシデント対応体制の更なる強化（例：指示・連絡系統を強化する、モニタリング頻度を上げる等）を併せて進めることが望ましい。

「脆弱性悪用のリスクを低減する対策等」として、どのようなものがあるか？

・「脆弱性悪用のリスクを低減する対策等」として、具体的には次のような対策等が講じられている必要がある。

-脆弱性悪用の対象となる機能が無効化されている

-ベンダーが推奨する一時的な回避策(ワークアラウンド)が講じられている

-対象となる情報機器が適用範囲内のネットワークから切り離されている

-対象となる情報機器と適用範囲内のネットワークとの通信を監視し、当該脆弱性を悪用する不正な通信を遮断する機器又はソフトウェア(例：IPS)が導入されている

・上述の考え方に基づき対応期限を 15 日又はそれよりも長く設定する脆弱性については、「脆弱性悪用のリスクを低減する対策等」に列挙するもののほか、アップデートプログラムの適用に向けた対応計画を策定し、当該計画に沿ってアップデートを行う措置も有効なものとして許容され得る。対応計画を作成するに当たっては、攻撃の段階や対象機器のインターネットへの露出状況などの情報を踏まえて対応期限を決定し、かつ、脆弱性情報公開時点においてリスクを受容し、すぐに対応しないと判断したものも含めて漏れなく対応履歴を記録・追跡することが重要であり、例えば以下のように記録することが考えられる。この場合であっても、後日、攻撃が観測されることがあるため、その際に対応計画を見直すことができるよう備えることが重要である。

・そのほか、脆弱性の悪用によって最終的に生じる被害を最小限に抑える観点から、多層防御の考え方に基づき、被害を早期に検知するための対策や、機密情報の流出や不正通信を防ぐための対策等を併せて講じることが望ましい。