【情報セキュリティマネジメント】脆弱性管理とCVSS（診断・ペネトレーションテストを含む）、一つの材料だけで決めない｜SBOM・診断・ペネトレーションテスト・パッチ管理

2026.08.27

脆弱性への対応は、情報を見つけてパッチを適用すれば終わりではありません。

自組織で対象製品を使っているか、実際に影響を受けるか、どの順で対応するかを確認し、対策後の状態まで確かめる必要があります。

この記事では、脆弱性管理を学習上、資産把握・情報収集・影響確認・優先順位付け・対策・対策後確認の六段階で整理します。この六段階はSGシラバスが定める固定手順ではなく、対応問題を整理するための学習モデルです。

読み終えるころには、脆弱性情報を受け取ったときにどこまで確認できていて、何が未確認かを切り分けられるようになります。

先に結論：一つの情報だけで判断しない

段階 主な手掛かり それだけでは判断できないこと
資産把握 資産台帳、SBOM 自組織で実際に影響を受けるか
情報収集 JVN、CVE、CWE、ベンダ情報 対応の優先順位
影響確認 構成確認、脆弱性診断 無検出なら安全か
優先順位付け CVSS、悪用状況、業務影響 CVSS基本値だけで最優先か
対策 パッチ、暫定対策 適用後に解消したか
対策後確認 再診断、動作確認、記録 今後の新たな脆弱性への対応

1．SBOMで対象となるソフトウェア部品を把握する

SBOM（Software Bill of Materials）は、ソフトウェアを構成する部品と、バージョンなどの関連情報を把握するために利用します。

広く利用されるライブラリに脆弱性が公表されたとき、該当する部品を含む製品・システムを絞り込む手掛かりになります。

ただし、SBOMに部品が載っているだけで、その脆弱性が自組織で悪用可能だとは断定できません。

  • 対象バージョンに該当するか
  • 問題となる機能・構成を利用しているか
  • 悪用に必要な条件を満たすか
  • ベンダによる修正を適用済みか
  • 資産・業務への影響はどの程度か

などを追加で確認します。

現行SGシラバスVer.4.1には、SBOMを利用した脆弱性管理が明示されています。

2．CVE・CWE・JVNを区別する

用語 中心となる役割
CVE 個別の脆弱性を共通の識別子で参照する
CWE 脆弱性につながり得るソフトウェア・ハードウェアの弱点を分類する
JVN 日本で使用される製品の脆弱性情報と対策情報を提供する
JVN iPedia 国内外の脆弱性対策情報を収集・蓄積するデータベース

CVE＝個別の脆弱性、CWE＝弱点の種類という違いを押さえます。

情報源は一つに限定せず、JVNだけでなく製品ベンダの最新情報も確認します。対象バージョン、回避策、パッチ情報が更新されることがあるためです。

なお、現行SGシラバスVer.4.1にはJVNが明示されていますが、CVE、CWE、JVN iPediaという文字列は用語例に直接は掲載されていません。本記事では、既存対応問題と脆弱性情報を理解するための補助論点として扱います。

3．影響確認では診断結果を絶対視しない

脆弱性情報を受け取ったら、まず資産台帳やSBOMから対象製品・バージョンを確認し、自組織への影響を絞り込みます。

脆弱性診断とペネトレーションテスト

脆弱性診断は、定めた範囲について既知の脆弱性や設定不備などを確認することが中心です。

ペネトレーションテストは、攻撃者に近い手法を組み合わせ、想定した侵入や目的達成が可能かを検証することが中心です。

両者には重なる部分がありますが、目的と進め方を同一視しません。

診断で何も検出されても、脆弱性が存在しないことまでは保証されません。検査範囲、時点、認証の有無、ツールの能力、未知の脆弱性などによって結果が変わります。

反対に、ツールが脆弱性を示しても、実際には修正済みであるなど誤検知の場合があります。ベンダ情報、適用済み修正、構成など複数の情報で確認します。

認証付きスキャンとペネトレーションテストの権限

認証付きスキャンでは、設定やパッチ状況を詳しく確認するために権限が必要になることがあります。診断目的に必要な権限を定め、アカウントの利用者・期間を管理します。

ペネトレーションテストは、対象システムへ実際に負荷や影響を与える可能性があります。権限者の事前承認を得て、対象範囲、実施条件、中止条件、連絡方法などを定めてから実施します。

SGシラバスVer.4.1の「要求される知識」のセキュリティ評価に明示されているのは、CVSS、脆弱性診断、ペネトレーションテストの三つです。一方、「要求される技能」の運用状況の点検の用語例には、脆弱性検査、侵入検査が明示されています。

4．CVSSは深刻度の尺度で、基本値だけでは優先順位は決まらない

CVSS（Common Vulnerability Scoring System）は、脆弱性の特徴と深刻度を共通の尺度で伝えるための仕組みです。

CVSS v4.0には四つの指標群があります。

  • Base：脆弱性そのものの技術的特性
  • Threat：時間とともに変化する悪用状況など
  • Environmental：利用組織の環境に固有の条件
  • Supplemental：追加の文脈情報

Supplementalは最終スコアを変更しません。

特に重要なのは、CVSS Base Scoreは脆弱性の深刻度を示すものであり、それ単独で組織のリスクを評価するための値ではないことです。

対応順を決めるときは、CVSSに加えて、

  • 対象資産・業務の重要度
  • 外部からの到達可能性
  • 実際の悪用状況
  • 現在の管理策
  • パッチ・回避策の有無
  • 停止・変更による業務影響

などを確認します。

CVSSの数値を比較するときは、バージョンや、どの指標群を反映したスコアかも確認します。

5．パッチ適用と暫定対策

現行SGシラバスVer.4.1では、脆弱性管理、パッチ管理、パッチ適用基準が要求される技能として明示されています。

パッチを適用するときは、対象と影響を確認し、緊急性と業務影響から優先順位を決めます。必要に応じて復旧・切戻し手段を確保し、可能な範囲で検証してから適用します。

緊急性が高い場合でも、「確認せず全台へ一斉適用」が常に正しいとは限りません。

パッチが未提供、互換性上すぐに適用できない、停止が難しいといった場合は、

  • 不要な機能・サービスを停止する
  • 通信元や接続先を制限する
  • 外部ネットワークから分離する
  • 権限を絞る
  • 監視を強化する

などの暫定対策を検討します。

暫定対策は、脆弱性そのものを修正したことと同じではありません。恒久対応まで管理します。

6．対策後に解消を確認する

パッチ適用や設定変更が正常終了しても、それだけで脆弱性が解消したとは限りません。

  • 修正済みバージョン・状態になったか
  • 必要な再起動が完了したか
  • 再診断・構成確認で問題が解消したか
  • 業務機能へ悪影響がないか
  • 適用漏れ・失敗がないか
  • 結果と例外を記録したか

を確認します。

脆弱性管理は一回限りではなく、新しい脆弱性情報を継続して収集し、必要な対応へつなげます。

7．科目Bでの使われ方：よくある取り違えを見抜く

科目Bでは、用語の定義ではなく、必要な段階を飛ばしていないかを判断する材料として使われます。次のような記述に注意します。

  • SBOMを作ったので影響評価まで完了した
  • 診断で無検出なので安全が保証された
  • CVSS基本値が最大のものを無条件で最優先にした
  • パッチ未提供なので何もせず待つ
  • 緊急なので対象確認や復旧手段を省略した
  • 適用コマンドが成功したので解消確認をしない

一つの材料だけで結論を出していないか、必要な段階を飛ばしていないかを確認します。

担当者としては、脆弱性情報を受け取ったら、まず自組織の資産に該当するかを確認します。対応順を変える必要がある場合や、パッチ適用のために業務停止が必要な場合は、独断で決めず、資産の管理責任者や上位者へ報告して指示を仰ぎます。ペネトレーションテストの実施は、必ず権限者の事前承認を得ます。

まとめ

  • 脆弱性管理は資産把握から対策後確認まで継続して行う
  • SBOMは対象部品の把握に役立つが、悪用可能性や優先順位を自動判定しない
  • CVEは個別の脆弱性、CWEは弱点の種類を扱う
  • JVNとベンダ情報など複数の情報源を確認する
  • 診断の無検出は安全の保証ではなく、検出結果も検証する
  • ペネトレーションテストは権限者の承認と実施条件を定めて行う
  • CVSS Base Scoreは深刻度であり、組織のリスクや対応順そのものではない
  • パッチ未提供時は暫定対策を検討し、恒久対応まで管理する
  • パッチ適用後は脆弱性の解消と業務影響を確認する

関連記事

  • C1-T10：Webアプリケーションへの攻撃
  • C3-T07：セキュリティ対応組織と外部機関
  • C4-T03：リスクアセスメントの全体像
  • C4-T04：リスクの分析手法
  • C5-T06：アクセス制御と権限管理
  • C5-T09：ログ管理と監視

本記事は、2026年8月3日時点のSGシラバスVer.4.1を基準に作成しています。

参考資料

  • IPA「情報セキュリティマネジメント試験（レベル2）シラバス Ver.4.1」
  • FIRST「Common Vulnerability Scoring System Version 4.0 User Guide」
  • CVE Program「CVE Process」
  • MITRE「Common Weakness Enumeration（CWE）」
  • IPA・JPCERT/CC「Japan Vulnerability Notes（JVN）」
  • IPA「脆弱性対策情報データベース JVN iPedia」
  • NIST SP 800-115「Technical Guide to Information Security Testing and Assessment」
  • NIST SP 800-40 Rev.4「Guide to Enterprise Patch Management Planning: Preventive Maintenance for Technology」

関連する問題

コメント

タイトルとURLをコピーしました