4. 攻撃等の防御/4-4 プラットフォームセキュリティ

要求事項 No.4-4-4
セキュリティパッチ・アップデートの手続

• ★3 対象
• ★4 対象

原文要求事項

評価基準

• No.4-4-4-1★3

  ・情報機器、OS及びソフトウェアについて、以下の状態とすること。

  ‒ライセンスが付与され、サポートされている。

  ‒サポートが終了した場合に削除されるか、又はインターネットとの全てのトラフィックを遮断することで適用範囲から削除される。

  ‒やむを得ず、サポートが終了したものを利用する場合、脆弱性悪用のリスクを低減する対策を実施している。

  ‒可能であれば、自動アップデートが有効化されている。

• No.4-4-4-2★3

  ・利用している機能又は設定に関して、以下のいずれかに該当するアップデートプログラムがリリースされてから

  14日以内に、アップデートすること。

  -当該アップデートが、ベンダーにより「重大」(Critical)又は 「高リスク」(High Risk)と説明される脆弱性を修正するものである。

  -当該アップデートが、CVSSの基本値が7.0以上の脆弱性を修正するものである。

  -当該アップデートが修正する脆弱性のレベルの詳細がベンダーから提供されていない。

  ・やむを得ず上記のとおりアップデートができない場合(例えば、動作検証に一定期間を要し、期限内にアップデートが完了しない場合)は、アップデート適用までの間、脆弱性悪用のリスクを低減する対策を実施すること。

  [対象]

  -会社支給のパソコンの OS、ブラウザ及びOffice ソフト

  -サーバの OS及びミドルウェア

  -会社支給のスマートデバイスのOS及びアプリ

  -インターネットとの境界に設置されているネットワーク機器のOS及びファームウェア

• No.4-4-4-3★4

  ・インターネットとの境界に設置されているネットワーク機器のOS及びファームウェアについては、CVSS 基本値 7.0以上の脆弱性を有していないこと。